CVE-2020-7878

Pobieranie i wykonanie dowolnych plików w 4Nb VideoOffice (brak weryfikacji integralności)

CVSS 9.8v3.1pub. 2021-12-28upd. 2024-11-21

W aplikacji VideoOffice w wersji X2.9 i wcześniejszych wykryto podatność umożliwiającą pobranie i wykonanie dowolnych plików. Wynika ona z braku mechanizmu weryfikacji integralności pobieranych zasobów, co czyni ją wyjątkowo groźną — atakujący nie potrzebuje uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

An arbitrary file download and execution vulnerability was found in the VideoOffice X2.9 and earlier versions (CVE-2020-7878). This issue is due to missing support for integrity check.

🤖 Analiza AI

Jak działa

Podatność polega na tym, że aplikacja VideoOffice nie weryfikuje integralności plików pobieranych z sieci (brak sumy kontrolnej lub podpisu kryptograficznego). Atakujący może przeprowadzić atak typu man-in-the-middle lub manipulować źródłem pobierania, podstawiając złośliwy plik zamiast legalnego. Pobrany plik jest następnie wykonywany przez aplikację bez jakiejkolwiek kontroli jego autentyczności. Umożliwia to zdalne wykonanie dowolnego kodu na systemie ofiary.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem ofiary poprzez zdalne wykonanie kodu (RCE), a także naruszyć poufność, integralność i dostępność danych — co odzwierciedla maksymalny wynik CVSS w tych trzech kategoriach.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje dostępne są w biuletynie bezpieczeństwa KR-CERT pod adresem wskazanym w referencjach. Zaleca się aktualizację do wersji nowszej niż X2.9.

Kogo dotyczy

4Nb VideoOffice w wersji X2.9 oraz wcześniejszych, działający na Microsoft Windows

Uwagi

Podatność opublikowana 28 grudnia 2021 r. Identyfikator CVE wskazuje rok 2020, co sugeruje, że podatność została odkryta w 2020 r., lecz formalnie opublikowana w 2021 r. Biuletyn pochodzi od koreańskiego zespołu KR-CERT (KISA).