CVE-2020-24032

Skrypt tz.pl obsługuje żądania z parametrami cmd=set oraz tz= odpowiedzialnymi za ustawienie strefy czasowej systemu. Wartość parametru tz= nie jest odpowiednio walidowana ani sanityzowana, co pozwala atakującemu na wstrzyknięcie shell metacharacters (np. średnik, potok, podstawianie poleceń). Przekazany w ten sposób payload jest interpretowany przez powłokę systemową i wykonywany z uprawnieniami procesu obsługującego żądanie. Atak może być przeprowadzony zdalnie przez sieć bez żadnego uwierzytelnienia.

Atakujący może uzyskać pełną kontrolę nad systemem operacyjnym appliance'a — odczytywać, modyfikować i usuwać dane, instalować złośliwe oprogramowanie oraz wykorzystywać skompromitowany system jako punkt wejścia do dalszego ataku na infrastrukturę (lateral movement).

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.stor2rrd.com/download.php). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do skryptu tz.pl za pomocą firewall lub reguł ACL, tak aby był dostępny wyłącznie dla zaufanych hostów administracyjnych.

XoruX LPAR2RRD oraz XoruX STOR2RRD w wersji 2.70 (wirtualne appliance'y)

Dowód koncepcji (proof-of-concept) exploit został opublikowany w serwisie Pastebin (https://pastebin.com/G8981Fj8, https://pastebin.com/dHhawgx8), co zwiększa prawdopodobieństwo prób wykorzystania podatności.