CVE-2021-20509

CSV Injection w IBM Maximo Asset Management umożliwiający RCE

CVSS 9.8v3.1pub. 2021-08-12upd. 2024-11-21

IBM Maximo Asset Management w wersjach 7.6.0 oraz 7.6.1 jest podatne na atak typu CSV Injection wynikający z braku właściwej walidacji zawartości plików CSV. Zdalny atakujący niewymagający uwierzytelnienia może doprowadzić do wykonania dowolnych poleceń na systemie ofiary.

▸ Pokaż oryginał (EN)

IBM Maximo Asset Management 7.6.0 and 7.6.1 is potentially vulnerable to CSV Injection. A remote attacker could execute arbitrary commands on the system, caused by improper validation of csv file contents. IBM X-Force ID: 198243.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji danych wejściowych zapisywanych do plików CSV (CWE-74 – Injection). Atakujący może wstrzyknąć do pliku CSV specjalnie spreparowane formuły lub sekwencje znaków, które zostaną zinterpretowane i wykonane przez aplikację arkuszową (np. Microsoft Excel lub LibreOffice Calc) w momencie otwarcia pliku przez użytkownika. Mechanizm ten pozwala na eskalację ataku poza środowisko aplikacji webowej do systemu operacyjnego klienta otwierającego zainfekowany plik.

Skutki

Atakujący może wykonać dowolne polecenia na systemie użytkownika otwierającego złośliwy plik CSV, co w efekcie może prowadzić do utraty poufności, integralności oraz dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (IBM Support: https://www.ibm.com/support/pages/node/6480377). Zaleca się również ograniczenie możliwości eksportu danych do plików CSV dla nieuprawnionych użytkowników oraz instruowanie użytkowników końcowych o ryzyku otwierania plików CSV pobranych z systemów zewnętrznych.