CVE-2021-40604

SSRF i deserializacja w IPS Community Suite przed wersją 4.6.2

CVSS 9.1v3.1pub. 2022-06-13upd. 2024-11-21

Podatność typu Server-Side Request Forgery (SSRF) w IPS Community Suite umożliwia zdalnym użytkownikom wykonywanie żądań do dowolnych adresów URL oraz wyzwalanie deserializacji poprzez protokół phar. W niektórych przypadkach eksploitacja możliwa jest również bez uwierzytelnienia, co znacząco podnosi poziom ryzyka.

▸ Pokaż oryginał (EN)

A Server-Side Request Forgery (SSRF) vulnerability in IPS Community Suite before 4.6.2 allows remote authenticated users to request arbitrary URLs or trigger deserialization via phar protocol when generating class names dynamically. In some cases an exploitation is possible by an unauthenticated user.

🤖 Analiza AI

Jak działa

Podatność powstaje w mechanizmie dynamicznego generowania nazw klas — atakujący może wpłynąć na ten proces i skłonić serwer do wysłania żądania HTTP do dowolnego adresu URL, w tym do wewnętrznych zasobów infrastruktury. Dodatkowo, poprzez dostarczenie ścieżki z protokołem phar://, możliwe jest wyzwolenie deserializacji danych kontrolowanych przez atakującego. Deserializacja za pośrednictwem protokołu phar może prowadzić do wykonania złośliwego kodu po stronie serwera, jeśli w aplikacji istnieją odpowiednie gadgety deserializacji.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wewnętrznych zasobów sieciowych (SSRF) oraz potencjalnie wykonać dowolny kod po stronie serwera poprzez deserializację phar, co może skutkować pełnym przejęciem kontroli nad aplikacją lub serwerem.

Mitygacja

Należy zaktualizować IPS Community Suite do wersji 4.6.2 lub nowszej. Szczegóły patcha dostępne są w notach wydania producenta: https://invisioncommunity.com/release-notes/462-r99/