CVE-2020-15865

RCE w Stimulsoft Reports — wykonanie kodu C# przez plik raportu XML

CVSS 9.8v3.1pub. 2020-08-18upd. 2024-11-21

Podatność umożliwia zdalne wykonanie kodu (RCE) w Stimulsoft Reports w wersji 2013.1.1600.0. Atakujący może w pełni przejąć kontrolę nad serwerem przetwarzającym zainfekowany plik raportu.

▸ Pokaż oryginał (EN)

A Remote Code Execution vulnerability in Stimulsoft (aka Stimulsoft Reports) 2013.1.1600.0 allows an attacker to encode C# scripts as base-64 in the report XML file so that they will be compiled and executed on the server that processes this file. This can be used to fully compromise the server.

🤖 Analiza AI

Jak działa

Atakujący osadza złośliwy kod C# zakodowany w formacie base-64 wewnątrz pliku raportu XML. Gdy serwer przetwarza taki plik, osadzony skrypt jest dekodowany, kompilowany i wykonywany w kontekście serwera. Mechanizm ten wynika z braku walidacji i izolacji kodu zawartego w plikach raportów (CWE-94 — improper control of code generation).

Skutki

Atakujący może całkowicie przejąć kontrolę nad serwerem przetwarzającym plik raportu, uzyskując dostęp do danych, możliwość modyfikacji systemu oraz wykonywania dowolnych poleceń.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się unikanie przetwarzania plików raportów XML pochodzących z niezaufanych źródeł oraz ograniczenie uprawnień konta serwisowego przetwarzającego raporty.

Kogo dotyczy

Stimulsoft Reports w wersji 2013.1.1600.0

Uwagi

Informacje o podatności zostały opublikowane na blogu burninatorsec.blogspot.com w listopadzie 2018 roku, natomiast CVE opublikowano oficjalnie w sierpniu 2020 roku, co wskazuje na znaczący odstęp między odkryciem a formalną rejestracją podatności.