CVE-2016-6646

RCE w EMC Unisphere i Solutions Enabler Virtual Appliance przez vApp Manager

CVSS 9.8v3.0pub. 2016-10-05upd. 2026-05-06

Podatność w aplikacji webowej vApp Manager, wchodzącej w skład EMC Unisphere for VMAX Virtual Appliance oraz Solutions Enabler Virtual Appliance, umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu. Ocena CVSS 9.8 (CRITICAL) odzwierciedla pełne ryzyko kompromitacji systemu bez żadnej interakcji użytkownika.

▸ Pokaż oryginał (EN)

The vApp Managers web application in EMC Unisphere for VMAX Virtual Appliance 8.x before 8.3.0 and Solutions Enabler Virtual Appliance 8.x before 8.3.0 allows remote attackers to execute arbitrary code via crafted input to the (1) GetSymmCmdRequest or (2) RemoteServiceHandler class.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej walidacji danych wejściowych (CWE-20) w klasach GetSymmCmdRequest oraz RemoteServiceHandler aplikacji webowej vApp Manager. Atakujący może przesłać spreparowane żądanie sieciowe zawierające złośliwy payload do jednej z tych klas, co skutkuje wykonaniem dowolnego kodu po stronie serwera. Ponieważ wektor ataku jest sieciowy, a atak nie wymaga uwierzytelnienia ani interakcji użytkownika, eksploatacja jest szczególnie prosta do przeprowadzenia.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) na podatnym urządzeniu wirtualnym, co może prowadzić do pełnej kompromitacji poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować EMC Unisphere for VMAX Virtual Appliance oraz EMC Solutions Enabler Virtual Appliance do wersji 8.3.0 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu webowego vApp Manager wyłącznie do zaufanych hostów oraz segmentację sieci.