CVE-2021-28141

Nieautoryzowany dostęp do zasobów w Progress Telerik UI for ASP.NET AJAX

CVSS 9.8v3.1pub. 2021-03-11upd. 2025-06-30

W Progress Telerik UI for ASP.NET AJAX 2021.1.224 wykryto problem umożliwiający nieautoryzowany dostęp do pliku MicrosoftAjax.js poprzez zasób Telerik.Web.UI.WebResource.axd. Według zgłoszenia podatność może potencjalnie pozwolić atakującemu na nieautoryzowany dostęp do serwera i wykonanie kodu, choć vendor zakwestionował powagę problemu.

▸ Pokaż oryginał (EN)

An issue was discovered in Progress Telerik UI for ASP.NET AJAX 2021.1.224. It allows unauthorized access to MicrosoftAjax.js through the Telerik.Web.UI.WebResource.axd file. This may allow the attacker to gain unauthorized access to the server and execute code. To exploit, one must use the parameter _TSM_HiddenField_ and inject a command at the end of the URI. NOTE: the vendor states that this is not a vulnerability. The request's output does not indicate that a "true" command was executed on the server, and the request's output does not leak any private source code or data from the server

🤖 Analiza AI

Jak działa

Atakujący uzyskuje dostęp do pliku MicrosoftAjax.js za pośrednictwem endpointu Telerik.Web.UI.WebResource.axd bez wymaganego uwierzytelnienia. Do przeprowadzenia ataku należy użyć parametru _TSM_HiddenField_ i wstrzyknąć komendę na końcu URI. Vendor stoi jednak na stanowisku, że dane wyjściowe żądania nie wskazują na faktyczne wykonanie polecenia po stronie serwera ani nie ujawniają prywatnego kodu źródłowego czy danych.

Skutki

Według opisu podatności atakujący może uzyskać nieautoryzowany dostęp do serwera oraz potencjalnie wykonać na nim kod. Vendor kwestionuje jednak możliwość realnego wykonania poleceń serwerowych lub wycieku wrażliwych danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Ze względu na zakwestionowanie podatności przez vendor, zaleca się weryfikację aktualnego stanowiska Progress Software oraz stosowanie zasady minimalnych uprawnień i ograniczenia dostępu do endpointu Telerik.Web.UI.WebResource.axd na poziomie firewall lub konfiguracji serwera WWW.

Kogo dotyczy

Progress Telerik UI for ASP.NET AJAX w wersji 2021.1.224

Uwagi

Vendor (Progress Software) oficjalnie zakwestionował istnienie tej podatności, stwierdzając że żądanie nie powoduje faktycznego wykonania polecenia na serwerze ani nie ujawnia prywatnych danych. Przypisany wynik CVSS 9.8 (CRITICAL) może być zawyżony w świetle stanowiska producenta. Zalecana jest własna weryfikacja środowiskowa przed podjęciem działań naprawczych.