CVE-2020-6144

RCE w instalatorze OS4Ed openSIS 7.4 — wstrzyknięcie kodu PHP

CVSS 9.8v3.1pub. 2020-09-01upd. 2024-11-21

W module instalacyjnym systemu openSIS 7.4 istnieje podatność umożliwiająca zdalne wykonanie kodu (RCE). Atakujący bez żadnego uwierzytelnienia może wstrzyknąć kod PHP do pliku konfiguracyjnego aplikacji poprzez specjalnie spreparowane żądanie HTTP.

▸ Pokaż oryginał (EN)

A remote code execution vulnerability exists in the install functionality of OS4Ed openSIS 7.4. The username variable which is set at line 121 in install/Step5.php allows for injection of PHP code into the Data.php file that it writes. An attacker can send an HTTP request to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność znajduje się w pliku install/Step5.php, gdzie zmienna 'username' (linia 121) nie jest odpowiednio walidowana ani sanityzowana przed użyciem. Wartość tej zmiennej jest bezpośrednio zapisywana do pliku Data.php, co skutkuje zapisem dowolnego kodu PHP do systemu plików serwera. Sklasyfikowana jako indirect code injection (CWE-96) oraz code injection (CWE-94), podatność jest wyzwalana przez wysłanie odpowiednio spreparowanego żądania HTTP do endpointu instalatora.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem aplikacji poprzez wykonanie dowolnego kodu PHP w kontekście procesu serwera WWW. Prowadzi to do naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się usunięcie lub zabezpieczenie dostępu do katalogu install/ po zakończeniu instalacji, aby uniemożliwić dostęp do skryptów instalacyjnych z sieci.

Kogo dotyczy

OS4Ed openSIS w wersji 7.4

Uwagi

Podatność została zgłoszona przez Cisco Talos (raport TALOS-2020-1083). Dotyczy wyłącznie instalacji, w których katalog instalacyjny pozostał dostępny publicznie.