CVE-2021-38469

DLL Hijacking w Auvesy Versiondog — niekontrolowana ścieżka ładowania bibliotek

CVSS 9.1v3.1pub. 2021-10-22upd. 2024-11-21

Wiele usług produktu Auvesy Versiondog nie określa pełnych ścieżek podczas ładowania bibliotek DLL, co umożliwia atakującemu przeprowadzenie ataku DLL hijacking. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika, a jej wykorzystanie może prowadzić do przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

Many of the services used by the affected product do not specify full paths for the DLLs they are loading. An attacker can exploit the uncontrolled search path by implanting their own DLL near the affected product’s binaries, thus hijacking the loaded DLL.

🤖 Analiza AI

Jak działa

Usługi składające się na produkt Auvesy Versiondog ładują biblioteki DLL bez podawania ich pełnych, bezwzględnych ścieżek (CWE-427 — Uncontrolled Search Path Element). Atakujący może umieścić złośliwą bibliotekę DLL o nazwie identycznej z oczekiwaną w katalogu bliskim plikom binarnym produktu. Gdy usługa zostanie uruchomiona, system operacyjny odnajdzie i załaduje podstawioną bibliotekę DLL zamiast oryginalnej, wykonując tym samym kod dostarczony przez atakującego.

Skutki

Atakujący może doprowadzić do wykonania dowolnego kodu w kontekście uprawnień uruchomionej usługi, co może skutkować naruszeniem integralności systemu, jego destabilizacją lub całkowitą utratą dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (doradztwo ICS-CERT ICSA-21-292-01: https://us-cert.cisa.gov/ics/advisories/icsa-21-292-01). Dodatkowo zaleca się ograniczenie uprawnień do zapisu w katalogach instalacyjnych produktu wyłącznie do autoryzowanych użytkowników oraz stosowanie zasady najmniejszych uprawnień dla kont usług.

Kogo dotyczy

Auvesy Versiondog — wersje wskazane w referencjach producenta (doradztwo ICS-CERT ICSA-21-292-01)

Uwagi

Podatność została ujawniona w ramach koordynowanego doradztwa ICS-CERT opublikowanego 19 października 2021 roku (ICSA-21-292-01), dotyczącego systemów przemysłowych.