CVE-2020-27976

OS command injection w osCommerce Phoenix CE via parametr 'from' w mail.php

CVSS 9.8v3.1pub. 2020-10-28upd. 2024-11-21

osCommerce Phoenix CE przed wersją 1.0.5.4 zawiera podatność typu command injection umożliwiającą zdalne wykonanie poleceń systemowych. Brak walidacji parametru POST 'from' w pliku admin/mail.php pozwala atakującemu na wstrzyknięcie złośliwych poleceń poprzez opcję sendmail -f.

▸ Pokaż oryginał (EN)

osCommerce Phoenix CE before 1.0.5.4 allows OS command injection remotely. Within admin/mail.php, a from POST parameter can be passed to the application. This affects the PHP mail function, and the sendmail -f option.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji i sanityzacji parametru POST 'from' przekazywanego do pliku admin/mail.php. Wartość tego parametru jest bezpośrednio przekazywana do funkcji PHP mail(), która z kolei przekazuje ją do opcji -f programu sendmail. Opcja -f w sendmail pozwala na określenie adresu nadawcy, jednak niesprawdzona wartość parametru umożliwia wstrzyknięcie dodatkowych poleceń systemowych. Atak może być przeprowadzony zdalnie bez konieczności uwierzytelnienia.

Skutki

Atakujący może zdalnie wykonać dowolne polecenia systemowe z uprawnieniami procesu serwera WWW, co prowadzi do pełnego przejęcia kontroli nad systemem, ujawnienia danych oraz modyfikacji lub zniszczenia zasobów serwera.

Mitygacja

Należy zaktualizować osCommerce Phoenix CE do wersji 1.0.5.4 lub nowszej. Szczegóły dostępne są w referencjach producenta oraz w biuletynie bezpieczeństwa: https://herolab.usd.de/security-advisories/usd-2020-0026/

Kogo dotyczy

osCommerce Phoenix CE w wersjach przed 1.0.5.4

Uwagi

Podatność została ujawniona przez badaczy z usd AG HeroLab (identyfikator wewnętrzny: usd-2020-0026). Pomimo krytycznego wyniku CVSS 9.8, podatność nie figuruje w katalogu CISA KEV.