CVE-2012-5358

Ektron CMS: odczyt plików i bypass autoryzacji przez XSLT

CVSS 9.8v3.0pub. 2017-10-30upd. 2026-05-13

Podatność w funkcji XSLTCompiledTransform w Ektron Content Management System pozwala zdalnym atakującym na odczyt dowolnych plików oraz ominięcie mechanizmów uwierzytelniania. Ze względu na krytyczny wynik CVSS (9.8) i brak wymaganego uwierzytelnienia stanowi poważne zagrożenie dla każdej instalacji podatnej wersji systemu.

▸ Pokaż oryginał (EN)

The XSLTCompiledTransform function in Ektron Content Management System (CMS) before 8.02 SP5 configures the XSL with enableDocumentFunction set to true, which allows remote attackers to read arbitrary files and consequently bypass authentication, modify viewstate, cause a denial of service, or possibly have unspecified other impact via crafted XSL data.

🤖 Analiza AI

Jak działa

Funkcja XSLTCompiledTransform jest skonfigurowana z parametrem enableDocumentFunction ustawionym na true, co umożliwia korzystanie z funkcji document() w arkuszach XSL. Atakujący może dostarczyć spreparowane dane XSL, które wywołają tę funkcję w celu odczytu dowolnych plików z systemu plików serwera. Uzyskane w ten sposób dane (np. zawartość plików konfiguracyjnych) mogą posłużyć do ominięcia uwierzytelniania, manipulacji stanem widoku (viewstate) lub wywołania odmowy usługi (DoS).

Skutki

Atakujący bez żadnego uwierzytelnienia może odczytać dowolne pliki na serwerze, ominąć mechanizmy autoryzacji, zmodyfikować viewstate aplikacji lub spowodować odmowę usługi (DoS), a potencjalnie osiągnąć również inne, bliżej nieokreślone skutki.

Mitygacja

Należy zaktualizować Ektron CMS do wersji 8.02 SP5 lub nowszej. Szczegółowe informacje o patchu dostępne są w notach wydania producenta pod adresem wskazanym w referencjach (dokumentacja Ektron 8.02 SP5).

Kogo dotyczy

Ektron Content Management System (CMS) w wersjach wcześniejszych niż 8.02 SP5

Uwagi

Podatność została opisana publicznie przez badacza bezpieczeństwa w październiku 2012 roku (wpis na blogu webstersprodigy.net z 2012-10-25). Microsoft opublikował powiązany biuletyn bezpieczeństwa MSVR12-016. Pomimo daty publikacji CVE w 2017 roku, sam problem pochodzi z 2012 roku.