CVE-2019-12518

Buffer overflow w Anviz CrossChex — krytyczna podatność zarządzania dostępem

CVSS 9.8v3.1pub. 2019-12-02upd. 2024-11-21

Oprogramowanie Anviz CrossChex do zarządzania kontrolą dostępu w wersjach 4.3.8.0 i 4.3.12 zawiera krytyczną podatność typu buffer overflow. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu przejęcie pełnej kontroli nad systemem.

▸ Pokaż oryginał (EN)

Anviz CrossChex access control management software 4.3.8.0 and 4.3.12 is vulnerable to a buffer overflow vulnerability.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-120 (klasyczny buffer overflow) polega na braku odpowiedniej walidacji rozmiaru danych wejściowych przed ich skopiowaniem do bufora o stałej wielkości. Atakujący może dostarczyć specjalnie spreparowane dane, które przepełnią bufor w pamięci, nadpisując sąsiednie obszary — w tym dane sterujące przepływem programu, takie jak adresy powrotu. W efekcie możliwe jest przejęcie kontroli nad wykonaniem kodu aplikacji.

Skutki

Atakujący może zdalnie wykonać dowolny kod (RCE) na maszynie z uruchomionym oprogramowaniem CrossChex bez konieczności posiadania jakichkolwiek poświadczeń, co może prowadzić do pełnego przejęcia systemu, utraty poufności danych oraz naruszenia integralności i dostępności usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako środek tymczasowy zaleca się ograniczenie dostępu sieciowego do oprogramowania CrossChex wyłącznie do zaufanych hostów za pomocą firewall oraz segmentację sieci.

Kogo dotyczy

Anviz CrossChex w wersjach 4.3.8.0 oraz 4.3.12

Uwagi

Publicznie dostępny kod exploit został opublikowany w serwisie Packet Storm Security (packetstormsecurity.com/files/156335/Anviz-CrossChex-Buffer-Overflow.html), co istotnie zwiększa ryzyko wykorzystania podatności mimo braku wpisu w CISA KEV.