CVE-2020-6143

RCE w instalatorze OS4Ed openSIS 7.4 — wstrzyknięcie kodu PHP

CVSS 9.8v3.1pub. 2020-09-01upd. 2024-11-21

W module instalacyjnym aplikacji openSIS 7.4 istnieje podatność umożliwiająca zdalne wykonanie kodu (RCE). Atakujący bez żadnego uwierzytelnienia może wstrzyknąć złośliwy kod PHP, który zostanie zapisany do pliku konfiguracyjnego na serwerze.

▸ Pokaż oryginał (EN)

A remote code execution vulnerability exists in the install functionality of OS4Ed openSIS 7.4. The password variable which is set at line 122 in install/Step5.php allows for injection of PHP code into the Data.php file that it writes. An attacker can send an HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność znajduje się w pliku install/Step5.php, w którym zmienna 'password' (linia 122) jest bezpośrednio zapisywana do pliku Data.php bez odpowiedniej walidacji ani sanityzacji. Atakujący może spreparować żądanie HTTP zawierające złośliwy kod PHP osadzony w wartości zmiennej 'password'. Po zakończeniu procesu instalacji wstrzyknięty kod trafia do pliku Data.php i może być wykonany przez serwer webowy przy kolejnym żądaniu HTTP.

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnego kodu na serwerze z uprawnieniami procesu serwera webowego, co może prowadzić do pełnego przejęcia kontroli nad systemem, kradzieży danych oraz dalszego lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się usunięcie lub zablokowanie dostępu do katalogu instalacyjnego (install/) po zakończeniu wdrożenia aplikacji, ponieważ moduł instalacyjny nie powinien być publicznie dostępny na działającej instancji systemu.