CVE-2019-15490

Command Injection w openITCOCKPIT umożliwiający zdalne wykonanie kodu

CVSS 9.8v3.0pub. 2019-08-23upd. 2024-11-21

Podatność typu command injection (CWE-78) w aplikacji openITCOCKPIT w wersjach przed 3.7.1 umożliwia zdalne wykonanie dowolnego kodu bez uwierzytelnienia. Krytyczny poziom zagrożenia (CVSS 9.8) wynika z możliwości pełnego przejęcia kontroli nad systemem przez sieć, bez jakichkolwiek wymagań wstępnych.

▸ Pokaż oryginał (EN)

openITCOCKPIT before 3.7.1 allows code injection, aka RVID 1-445b21.

🤖 Analiza AI

Jak działa

Podatność polega na niewystarczającym oczyszczaniu danych wejściowych przekazywanych do funkcji wykonujących polecenia systemowe (command injection). Atakujący może dostarczyć spreparowane dane wejściowe, które zostaną zinterpretowane i wykonane jako polecenia systemowe przez podatną aplikację. Brak wymogu uwierzytelnienia oraz niski poziom złożoności ataku czynią tę podatność szczególnie łatwą do wykorzystania zdalnie.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze hostującym openITCOCKPIT, co w konsekwencji może prowadzić do pełnego przejęcia systemu, wycieku poufnych danych, modyfikacji konfiguracji monitoringu lub naruszenia dostępności usług.

Mitygacja

Należy niezwłocznie zaktualizować openITCOCKPIT do wersji 3.7.1 lub nowszej, dostępnej w repozytorium producenta: https://github.com/it-novum/openITCOCKPIT/releases/tag/openITCOCKPIT-3.7.1

Kogo dotyczy

openITCOCKPIT w wersjach przed 3.7.1 (produkt firmy it-novum)

Uwagi

Podatność jest identyfikowana przez producenta jako RVID 1-445b21. Podatność dotyczy systemu monitoringu IT, co oznacza, że jej wykorzystanie może zakłócić procesy nadzoru infrastruktury sieciowej organizacji.