CVE-2019-5623

Podatność polega na nieprawidłowej neutralizacji znaków specjalnych używanych w poleceniach systemowych (CWE-77/CWE-78). Atakujący może dostarczyć spreparowane dane wejściowe zawierające złośliwe znaki lub sekwencje, które są następnie przekazywane bezpośrednio do interpretera poleceń systemu operacyjnego bez odpowiedniego oczyszczenia. W efekcie możliwe jest wstrzyknięcie i wykonanie dowolnych poleceń w kontekście systemu operacyjnego urządzenia. Dla tej podatności dostępny jest publiczny moduł exploit w frameworku Rapid7 Metasploit (accellion_fta_mpipe2).

Nieuwierzytelniony atakujący zdalnie może wykonać dowolne polecenia systemu operacyjnego na urządzeniu, co prowadzi do pełnej utraty poufności, integralności i dostępności systemu, w tym potencjalnego przejęcia kontroli nad urządzeniem i przesyłanymi plikami.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do urządzenia poprzez firewall wyłącznie do zaufanych adresów IP oraz monitorowanie urządzenia pod kątem nieautoryzowanej aktywności.

Accellion File Transfer Appliance w wersji FTA_8_0_540

Dla tej podatności istnieje publiczny moduł exploit w frameworku Metasploit (moduł exploit/linux/misc/accellion_fta_mpipe2), co istotnie obniża próg wejścia dla potencjalnych atakujących.