CVE-2017-3181

SQL Injection w wielu produktach TIBCO Spotfire (CVE-2017-3181)

CVSS 9.8v3.0pub. 2018-07-24upd. 2024-11-21

Wiele produktów z rodziny TIBCO Spotfire zawiera niespecyfikowane podatności SQL injection wynikające z braku właściwej sanityzacji danych wejściowych użytkownika przed ich użyciem w zapytaniach SQL. Podatność jest krytyczna — umożliwia zdalnemu, nieuwierzytelnionemu atakującemu pełny dostęp do bazy danych bez konieczności interakcji ze strony użytkownika.

▸ Pokaż oryginał (EN)

Multiple TIBCO Products are prone to multiple unspecified SQL-injection vulnerabilities because it fails to properly sanitize user-supplied input before using it in an SQL query. Exploiting these issues could allow an attacker to compromise the application, access or modify data, or exploit latent vulnerabilities in the underlying database. The following products and versions are affected: TIBCO Spotfire Analyst 7.7.0 TIBCO Spotfire Connectors 7.6.0 TIBCO Spotfire Deployment Kit 7.7.0 TIBCO Spotfire Desktop 7.6.0 TIBCO Spotfire Desktop 7.7.0 TIBCO Spotfire Desktop Developer Edition 7.7.0 TIBCO Spotfire Desktop Language Packs 7.6.0 TIBCO Spotfire Desktop Language Packs 7.7.0 The following components are affected: TIBCO Spotfire Client TIBCO Spotfire Web Player Client

🤖 Analiza AI

Jak działa

Atakujący dostarcza do aplikacji specjalnie spreparowane dane wejściowe zawierające złośliwe fragmenty kodu SQL. Aplikacja nie waliduje ani nie oczyszcza tych danych przed przekazaniem ich do zapytania bazodanowego, co pozwala na modyfikację logiki zapytania. W rezultacie możliwe jest odczytywanie, modyfikowanie danych w bazie lub eskalacja ataku na podatności w silniku bazodanowym. Podatność dotyczy komponentów TIBCO Spotfire Client oraz TIBCO Spotfire Web Player Client.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie, modyfikować lub usuwać dane, a także potencjalnie wykorzystać wtórne podatności w warstwie bazy danych, co może prowadzić do przejęcia kontroli nad aplikacją lub całym serwerem bazy danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — oficjalny biuletyn bezpieczeństwa TIBCO dostępny pod adresem: https://www.tibco.com/support/advisories/2017/01/tibco-security-advisory-january-10-2017-tibco-spotfire-2017-3181

Kogo dotyczy

TIBCO Spotfire Analyst 7.7.0, TIBCO Spotfire Connectors 7.6.0, TIBCO Spotfire Deployment Kit 7.7.0, TIBCO Spotfire Desktop 7.6.0 i 7.7.0, TIBCO Spotfire Desktop Developer Edition 7.7.0, TIBCO Spotfire Desktop Language Packs 7.6.0 i 7.7.0; komponenty: TIBCO Spotfire Client oraz TIBCO Spotfire Web Player Client

Uwagi

Podatność została opublikowana przez TIBCO w biuletynie bezpieczeństwa z dnia 10 stycznia 2017 roku, pomimo że formalna data publikacji CVE to 24 lipca 2018 roku.