CVE-2020-25254

SQL injection w Hyland OnBase — nieautoryzowany dostęp do bazy danych

CVSS 9.8v3.1pub. 2020-09-11upd. 2024-11-21

W systemie zarządzania treścią Hyland OnBase wykryto krytyczną podatność SQL injection umożliwiającą nieautoryzowanym użytkownikom manipulację zapytaniami do bazy danych. Ze względu na brak wymagań co do uwierzytelnienia oraz sieciowy wektor ataku, podatność stanowi poważne zagrożenie dla poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

An issue was discovered in Hyland OnBase 16.0.2.83 and below, 17.0.2.109 and below, 18.0.0.37 and below, 19.8.16.1000 and below and 20.3.10.1000 and below. It allows SQL injection, as demonstrated by TestConnection_LocalOrLinkedServer, CreateFilterFriendlyView, or AddWorkViewLinkedServer.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych do zapytań SQL w komponentach systemu Hyland OnBase. Atakujący może wstrzyknąć złośliwy kod SQL poprzez podatne funkcje, takie jak TestConnection_LocalOrLinkedServer, CreateFilterFriendlyView lub AddWorkViewLinkedServer. Exploit nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni go łatwym do przeprowadzenia zdalnie przez sieć.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie, modyfikować lub usuwać dane, a w zależności od konfiguracji serwera bazy danych — potencjalnie przejąć nad nim kontrolę lub wykonać dowolne polecenia systemowe.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się jak najszybszą aktualizację do wersji wykraczających poza wskazane przedziały podatnych wydań oraz ograniczenie dostępu sieciowego do systemu OnBase wyłącznie do autoryzowanych użytkowników.

Kogo dotyczy

Hyland OnBase w wersjach: 16.0.2.83 i wcześniejszych, 17.0.2.109 i wcześniejszych, 18.0.0.37 i wcześniejszych, 19.8.16.1000 i wcześniejszych oraz 20.3.10.1000 i wcześniejszych.

Uwagi

Szczegóły techniczne podatności zostały opublikowane na liście full-disclosure w serwisie seclists.org we wrześniu i październiku 2020 roku, co oznacza publiczną dostępność informacji o sposobie exploitacji.