CVE-2018-25159

Atakujący wysyła spreparowane żądanie HTTP do endpointu login.action, umieszczając złośliwe wyrażenie OGNL w parametrze redirect. Platforma przetwarza przekazany parametr bez odpowiedniej walidacji, co pozwala na wstrzyknięcie i wykonanie arbitralnego kodu po stronie serwera. Poprzez wyrażenie OGNL atakujący może tworzyć instancje obiektów ProcessBuilder i za ich pomocą wykonywać dowolne polecenia systemowe z uprawnieniami root.

Nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad systemem, wykonując dowolne polecenia z uprawnieniami root, co może prowadzić do całkowitego przejęcia serwera, kradzieży danych oraz dalszego ruchu wewnątrz sieci (lateral movement).

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo, do czasu wdrożenia poprawki, zaleca się ograniczenie dostępu sieciowego do endpointu login.action za pomocą firewall lub reguł ACL oraz monitorowanie żądań zawierających podejrzane wartości parametru redirect.

Platforma zarządzania Epross AVCON6 — konkretne wersje wskazane w referencjach producenta i doradczych VulnCheck

Publicznie dostępny exploit dla tej podatności znajduje się w bazie Exploit-DB (https://www.exploit-db.com/exploits/47379), co istotnie zwiększa ryzyko wykorzystania luki w środowiskach produkcyjnych pomimo braku wpisu w CISA KEV.