CVE-2021-35066

XXE w ConnectWise Automate umożliwia przejęcie kontroli nad systemem

CVSS 9.8v3.1pub. 2021-06-21upd. 2024-11-21

W ConnectWise Automate w wersjach wcześniejszych niż 2021.0.6.132 istnieje podatność typu XXE (XML External Entity Injection), klasyfikowana jako krytyczna z wynikiem CVSS 9.8. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie ataku bez jakiejkolwiek interakcji użytkownika.

▸ Pokaż oryginał (EN)

An XXE vulnerability exists in ConnectWise Automate before 2021.0.6.132.

🤖 Analiza AI

Jak działa

Podatność XXE (CWE-611) polega na nieprawidłowym przetwarzaniu zewnętrznych encji XML przez parser aplikacji. Atakujący może przesłać specjalnie spreparowany dokument XML zawierający odwołania do zewnętrznych encji, które parser próbuje rozwiązać. Może to skutkować odczytem plików z lokalnego systemu plików serwera, wykonaniem żądań po stronie serwera (SSRF) lub innymi nieautoryzowanymi operacjami. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani uprawnień, co czyni tę podatność szczególnie niebezpieczną.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych (w tym plików systemowych i konfiguracyjnych), a w połączeniu z innymi technikami — potencjalnie doprowadzić do całkowitego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować ConnectWise Automate do wersji 2021.0.6.132 lub nowszej. Szczegółowe informacje o patchu dostępne są w biuletynie bezpieczeństwa producenta pod adresem: https://www.connectwise.com/company/trust/security-bulletins