CVE-2021-3331

WinSCP — zdalne wykonanie kodu przez spreparowany URL (sftp://)

CVSS 9.8v3.1pub. 2021-01-27upd. 2024-11-21

WinSCP w wersjach przed 5.17.10 umożliwia zdalnemu atakującemu wykonanie dowolnego programu poprzez spreparowany URL ładujący ustawienia sesji. Podatność jest szczególnie groźna, ponieważ w domyślnej instalacji WinSCP jest zarejestrowany jako handler protokołu sftp://, co ułatwia jej wykorzystanie.

▸ Pokaż oryginał (EN)

WinSCP before 5.17.10 allows remote attackers to execute arbitrary programs when the URL handler encounters a crafted URL that loads session settings. (For example, this is exploitable in a default installation in which WinSCP is the handler for sftp:// URLs.)

🤖 Analiza AI

Jak działa

Gdy system operacyjny wywołuje WinSCP jako handler dla adresów URL protokołu sftp://, aplikacja przetwarza parametry zawarte w takim adresie, w tym ustawienia sesji. Atakujący może spreparować złośliwy URL (np. osadzony na stronie internetowej lub w wiadomości e-mail) zawierający parametry sesji wskazujące na wykonanie arbitralnego programu. WinSCP przed wersją 5.17.10 nie weryfikuje odpowiednio tych danych wejściowych, co pozwala na uruchomienie dowolnego kodu w kontekście użytkownika.

Skutki

Atakujący może zdalnie wykonać dowolny program na komputerze ofiary bez konieczności uwierzytelnienia i bez interakcji użytkownika (poza otwarciem spreparowanego URL). Może to prowadzić do pełnego przejęcia systemu, utraty poufności danych oraz naruszenia integralności i dostępności systemu.

Mitygacja

Należy zaktualizować WinSCP do wersji 5.17.10 lub nowszej. Poprawka dostępna jest w oficjalnych notatkach wydania producenta: https://winscp.net/eng/docs/history#5.17.10

Kogo dotyczy

WinSCP w wersjach przed 5.17.10

Uwagi

Podatność jest możliwa do wykorzystania w domyślnej konfiguracji systemu Windows, w której WinSCP jest zarejestrowany jako handler protokołu sftp://. Szczegóły techniczne poprawki dostępne w repozytorium GitHub projektu (commit faa96e8144e6925a380f94a97aa382c9427f688d).