CVE-2012-10060

Podczas procesu uwierzytelniania SSH serwer kopiuje dostarczoną przez klienta nazwę użytkownika do bufora o stałym rozmiarze na stosie, nie sprawdzając długości wejścia. Dostarczenie odpowiednio długiej nazwy użytkownika powoduje przepełnienie bufora (stack-based buffer overflow, CWE-121) i nadpisanie danych kontrolnych na stosie. Dzięki temu atakujący może przekierować wykonanie programu do własnego shellcode'u i wykonać dowolny kod w kontekście procesu usługi SSH.

Zdalny, nieuwierzytelniony atakujący może wykonać dowolny kod (RCE) z uprawnieniami procesu usługi Sysax Multi Server, co w praktyce może oznaczać pełne przejęcie kontroli nad systemem operacyjnym.

Należy natychmiast zaktualizować Sysax Multi Server do wersji 5.55 lub nowszej. Publiczne exploity dla tej podatności są dostępne (m.in. w bazie Exploit-DB oraz w module Metasploit Framework), co znacząco zwiększa ryzyko wykorzystania. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do portu SSH serwera Sysax za pomocą firewall wyłącznie do zaufanych adresów IP.

Sysax Multi Server w wersjach wcześniejszych niż 5.55 (komponent usługi SSH).

Dla tej podatności istnieją publicznie dostępne exploity, w tym gotowy moduł w Metasploit Framework (sysax_ssh_username.rb) oraz wpisy w Exploit-DB (ID 18535 i 18557), co czyni jej wykorzystanie wyjątkowo prostym. Pomimo braku wpisu w CISA KEV, obecność gotowych narzędzi atakujących istotnie podnosi rzeczywiste ryzyko.