CVE-2020-10383

RCE bez uwierzytelnienia w MB CONNECT LINE mymbCONNECT24 i mbCONNECT24

CVSS 9.8v3.1pub. 2020-04-14upd. 2024-11-21

W oprogramowaniu MB CONNECT LINE mymbCONNECT24 oraz mbCONNECT24 (wszystkie wersje do 2.5.0 włącznie) odkryto krytyczną podatność umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia. Wysoki wynik CVSS 9.8 oraz brak wymogu jakiejkolwiek interakcji czynią tę podatność wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

An issue was discovered in the MB CONNECT LINE mymbCONNECT24 and mbCONNECT24 software in all versions through 2.5.0. There is an unauthenticated remote code execution in the com_mb24sysapi module.

🤖 Analiza AI

Jak działa

Podatność znajduje się w module com_mb24sysapi wspomnianego oprogramowania. Atakujący nieposiadający żadnych uprawnień może za pośrednictwem sieci wysłać specjalnie spreparowane żądanie do podatnego modułu i wywołać wykonanie dowolnego kodu po stronie serwera. Brak mechanizmu uwierzytelnienia jako warunek wstępny sprawia, że atak jest dostępny dla każdego, kto ma łączność sieciową z docelowym systemem.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, w tym dostęp do poufnych danych, możliwość modyfikacji konfiguracji oraz potencjalne naruszenie integralności i dostępności całego środowiska przemysłowego zarządzanego przez oprogramowanie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://mbconnectline.com/security-advice/). Zaleca się aktualizację do wersji wyższej niż 2.5.0 oraz ograniczenie dostępu sieciowego do interfejsów zarządzania wyłącznie do zaufanych hostów.