CVE-2021-32523

QSAN Storage Manager — obejście kontroli dostępu i wykonanie dowolnych poleceń

CVSS 9.1v3.1pub. 2021-07-07upd. 2024-11-21

Podatność nieprawidłowej autoryzacji w QSAN Storage Manager umożliwia zdalnym użytkownikom z uprawnieniami administratora ominięcie mechanizmów kontroli dostępu i wykonanie dowolnych poleceń systemowych. Wysoka ocena CVSS 9.1 wynika z pełnego wpływu na poufność, integralność i dostępność systemu.

▸ Pokaż oryginał (EN)

Improper authorization vulnerability in QSAN Storage Manager allows remote privileged users to bypass the access control and execute arbitrary commands. Suggest contacting with QSAN and refer to recommendations in QSAN Document.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej implementacji mechanizmu autoryzacji (CWE-285), który nie weryfikuje właściwie uprawnień użytkownika w odniesieniu do określonych operacji. Zdalny użytkownik posiadający konto uprzywilejowane może wysłać spreparowane żądanie sieciowe, które omija zdefiniowane reguły kontroli dostępu. W efekcie atakujący uzyskuje możliwość wykonania dowolnych poleceń poza zakresem swoich rzeczywistych uprawnień. Podatność jest dostępna przez sieć bez konieczności interakcji ze strony ofiary.

Skutki

Atakujący może wykonać dowolne polecenia na urządzeniu QSAN Storage Manager, co prowadzi do pełnego przejęcia kontroli nad systemem, utraty poufności przechowywanych danych, naruszenia ich integralności oraz potencjalnego zakłócenia dostępności usług.

Mitygacja

Należy skontaktować się z QSAN w celu uzyskania szczegółowych zaleceń oraz zastosować patche dostępne u producenta zgodnie z referencjami (dokumentacja QSAN). Zaleca się również ograniczenie dostępu sieciowego do interfejsu zarządzania Storage Manager wyłącznie do zaufanych hostów.

Kogo dotyczy

QSAN Storage Manager — wersje wskazane w referencjach producenta

Uwagi

Podatność została opublikowana przez TWCERT/CC (Taiwan Computer Emergency Response Team / Coordination Center). Producent zaleca bezpośredni kontakt z QSAN w celu uzyskania szczegółowych rekomendacji naprawczych.