CVE-2020-3760

Command injection w Adobe Digital Editions umożliwia RCE

CVSS 9.8v3.1pub. 2020-02-13upd. 2024-11-21

Adobe Digital Editions w wersjach 4.5.10 i wcześniejszych zawiera podatność typu command injection (CWE-77), która pozwala atakującemu na zdalne wykonanie dowolnego kodu. Krytyczny poziom zagrożenia wynika z braku wymagań dotyczących uwierzytelnienia oraz możliwości pełnego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

Adobe Digital Editions versions 4.5.10 and below have a command injection vulnerability. Successful exploitation could lead to arbitrary code execution.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej neutralizacji znaków specjalnych przekazywanych do interpretera poleceń systemowych (command injection). Atakujący może dostarczyć odpowiednio spreparowane dane wejściowe, które zostaną zinterpretowane jako polecenia systemu operacyjnego. Wektor ataku sieciowy (AV:N) bez wymogu interakcji użytkownika (UI:N) i bez wymagania uwierzytelnienia (PR:N) sprawia, że exploit może być przeprowadzony zdalnie przez sieć.

Skutki

Pomyślne wykorzystanie podatności prowadzi do wykonania dowolnego kodu na zaatakowanym systemie, co może skutkować pełnym przejęciem kontroli nad maszyną, kradzieżą danych, instalacją złośliwego oprogramowania lub dalszym lateral movement w sieci.

Mitygacja

Należy zaktualizować Adobe Digital Editions do wersji wyższej niż 4.5.10. Szczegółowe informacje o dostępnych patchach znajdują się w biuletynie bezpieczeństwa Adobe: https://helpx.adobe.com/security/products/Digital-Editions/apsb20-07.html