CVE-2021-3554

Nieprawidłowa kontrola dostępu w API patchesUpdate — Bitdefender Endpoint Security Tools

CVSS 9.0v3.1pub. 2021-11-24upd. 2024-11-21

Podatność w API patchesUpdate komponentu Bitdefender Endpoint Security Tools for Linux (rola relay) umożliwia nieuwierzytelnionemu atakującemu manipulację zdalnym adresem używanym do pobierania aktualizacji (patch). Może to prowadzić do przejęcia kontroli nad procesem aktualizacji i dostarczenia złośliwego oprogramowania do chronionych stacji.

▸ Pokaż oryginał (EN)

Improper Access Control vulnerability in the patchesUpdate API as implemented in Bitdefender Endpoint Security Tools for Linux as a relay role allows an attacker to manipulate the remote address used for pulling patches. This issue affects: Bitdefender Endpoint Security Tools for Linux versions prior to 6.6.27.390; versions prior to 7.1.2.33. Bitdefender Unified Endpoint versions prior to 6.2.21.160. Bitdefender GravityZone versions prior to 6.24.1-1.

🤖 Analiza AI

Jak działa

Błąd polega na braku właściwej kontroli dostępu (CWE-284) do API patchesUpdate w Bitdefender Endpoint Security Tools działającym w roli relay. Atakujący sieciowy, bez konieczności uwierzytelnienia czy interakcji użytkownika, może zmanipulować zdalny adres, z którego endpoint pobiera pakiety aktualizacyjne. W efekcie urządzenie może zostać skierowane do pobierania i instalowania patchy z kontrolowanego przez atakującego źródła zamiast z serwerów Bitdefender.

Skutki

Atakujący może podmienić źródło aktualizacji i dostarczyć złośliwy payload na chronione systemy, co może skutkować pełnym przejęciem kontroli nad systemem (naruszenie poufności, integralności i dostępności).

Mitygacja

Należy zaktualizować oprogramowanie do następujących wersji lub nowszych: Bitdefender Endpoint Security Tools for Linux 6.6.27.390 lub 7.1.2.33, Bitdefender Unified Endpoint 6.2.21.160, Bitdefender GravityZone 6.24.1-1. Szczegółowe informacje dostępne w poradniku bezpieczeństwa producenta pod adresem wskazanym w referencjach.

Kogo dotyczy

Bitdefender Endpoint Security Tools for Linux w wersjach wcześniejszych niż 6.6.27.390 oraz wcześniejszych niż 7.1.2.33; Bitdefender Unified Endpoint w wersjach wcześniejszych niż 6.2.21.160; Bitdefender GravityZone w wersjach wcześniejszych niż 6.24.1-1.