CVE-2016-0889

Zapis do dowolnych plików w EMC Unisphere for VMAX Virtual Appliance

CVSS 9.8v3.0pub. 2016-04-15upd. 2026-05-06

Podatność w komponencie vApp Manager aplikacji EMC Unisphere for VMAX Virtual Appliance umożliwia nieuwierzytelnionym atakującym zdalny zapis do dowolnych plików systemowych. Krytyczny poziom CVSS 9.8 wynika z braku wymaganych uprawnień oraz możliwości pełnego naruszenia poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

An HTTP servlet in vApp Manager in EMC Unisphere for VMAX Virtual Appliance before 8.2.0 allows remote attackers to write to arbitrary files via a crafted pathname.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji danych wejściowych (CWE-20) w serwlecie HTTP wchodzącym w skład vApp Manager. Atakujący może wysłać specjalnie spreparowane żądanie HTTP zawierające zmanipulowaną ścieżkę (crafted pathname), która nie jest odpowiednio weryfikowana przez aplikację. Powoduje to, że serwlet zapisuje dane do dowolnej lokalizacji w systemie plików, wykraczając poza przewidziany zakres operacji.

Skutki

Atakujący może nadpisać lub zmodyfikować dowolne pliki systemowe, co może prowadzić do przejęcia kontroli nad systemem, zakłócenia jego działania lub utraty poufnych danych. W skrajnym przypadku możliwe jest uzyskanie trwałego dostępu do urządzenia poprzez modyfikację plików konfiguracyjnych lub skryptów uruchomieniowych.

Mitygacja

Należy zaktualizować EMC Unisphere for VMAX Virtual Appliance do wersji 8.2.0 lub nowszej. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzającego poprzez firewall wyłącznie do zaufanych hostów administracyjnych.