CVE-2011-10026

Podatność wynika z nieprawidłowej sanitacji parametru search[instance_eval] przekazywanego do funkcji wyszukiwania API. Wartość tego parametru jest dynamicznie wywoływana przy użyciu metody send języka Ruby, co pozwala na wstrzyknięcie (command injection) i wykonanie dowolnego kodu powłoki systemowej. Mechanizm ten nie wymaga żadnego uwierzytelnienia, przez co exploit jest dostępny dla każdego zdalnego atakującego.

Nieuwierzytelniony atakujący może wykonać dowolne polecenia systemowe na serwerze hostującym aplikację, co w praktyce oznacza możliwość pełnego przejęcia kontroli nad serwerem, kradzieży danych oraz dalszego ruchu w sieci wewnętrznej (lateral movement).

Należy zaktualizować Spreecommerce Spree do wersji 0.50.x lub nowszej. Szczegółowe informacje o poprawkach bezpieczeństwa dostępne są w komunikacie producenta pod adresem wskazanym w referencjach (spreecommerce.com/blog/2011/04/19/security-fixes).

Spreecommerce Spree we wszystkich wersjach poprzedzających 0.50.x

Dla tej podatności publicznie dostępny jest moduł exploit w Metasploit Framework (modules/exploits/multi/http/spree_searchlogic_exec.rb) oraz wpis na Exploit-DB (ID: 17199), co znacząco obniża próg wejścia dla potencjalnych atakujących.