CVE-2019-12719

AUO SunVeillance: nieautoryzowane przesyłanie plików przez błędną kontrolę dostępu

CVSS 9.8v3.1pub. 2019-11-12upd. 2024-11-21

W systemie AUO SunVeillance Monitoring System w wersjach przed v1.1.9e odkryto podatność klasy CWE-434 (unrestricted file upload), umożliwiającą nieuwierzytelnionemu atakującemu przesyłanie dowolnych plików na serwer. Błąd jest krytyczny, ponieważ nie wymaga żadnej autoryzacji ani interakcji ofiary.

▸ Pokaż oryginał (EN)

An issue was discovered in Picture_Manage_mvc.aspx in AUO SunVeillance Monitoring System before v1.1.9e. There is an incorrect access control vulnerability that can allow an unauthenticated user to upload files via a modified authority parameter.

🤖 Analiza AI

Jak działa

Podatność znajduje się w pliku Picture_Manage_mvc.aspx, który nieprawidłowo weryfikuje uprawnienia użytkownika. Atakujący może zmodyfikować parametr authority w żądaniu HTTP, obchodząc mechanizm kontroli dostępu i przesyłając dowolny plik bez konieczności posiadania konta w systemie. Brak właściwej walidacji po stronie serwera pozwala na upload plików o dowolnym typie i zawartości.

Skutki

Atakujący może przesłać złośliwy plik (np. webshell) na serwer, co w konsekwencji może prowadzić do zdalnego wykonania kodu (RCE), przejęcia kontroli nad systemem oraz utraty poufności, integralności i dostępności danych monitorowanych instalacji fotowoltaicznych.

Mitygacja

Należy zaktualizować AUO SunVeillance Monitoring System do wersji v1.1.9e lub nowszej. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu webowego systemu wyłącznie do zaufanych adresów IP oraz wdrożenie firewall na poziomie aplikacji webowej (WAF) jako zabezpieczenia uzupełniającego.

Kogo dotyczy

AUO SunVeillance Monitoring System & Data Recorder w wersjach przed v1.1.9e

Uwagi

Dla tej podatności istnieje publicznie dostępny exploit opublikowany w bazie Exploit-DB (ID: 47541), co istotnie zwiększa ryzyko jej wykorzystania pomimo braku wpisu w CISA KEV.