CVE-2021-43035

SQL Injection i RCE w Kaseya Unitrends Backup Appliance

CVSS 9.8v3.1pub. 2021-12-06upd. 2024-11-21

W Kaseya Unitrends Backup Appliance wykryto dwie podatności typu SQL injection, które nie wymagają uwierzytelnienia i pozwalają na zdalne wykonanie kodu. Podatności są krytyczne, ponieważ nieautoryzowany atakujący może przejąć pełną kontrolę nad kontem superużytkownika bazy danych postgres.

▸ Pokaż oryginał (EN)

An issue was discovered in Kaseya Unitrends Backup Appliance before 10.5.5. Two unauthenticated SQL injection vulnerabilities were discovered, allowing arbitrary SQL queries to be injected and executed under the postgres superuser account. Remote code execution was possible, leading to full access to the postgres user account.

🤖 Analiza AI

Jak działa

Atakujący, bez jakiegokolwiek uwierzytelnienia, może wstrzyknąć dowolne zapytania SQL do aplikacji działającej na urządzeniu Kaseya Unitrends Backup Appliance. Zapytania te są wykonywane w kontekście konta superużytkownika postgres, co oznacza brak ograniczeń uprawnień bazodanowych. Poprzez nadużycie uprawnień superużytkownika bazy danych możliwe jest następnie osiągnięcie zdalnego wykonania kodu (RCE), co prowadzi do pełnego przejęcia konta postgres na poziomie systemu operacyjnego.

Skutki

Atakujący może uzyskać pełny dostęp do bazy danych jako superużytkownik postgres oraz wykonać dowolny kod na serwerze, co w praktyce oznacza całkowite przejęcie kontroli nad urządzeniem backup.

Mitygacja

Należy zaktualizować Kaseya Unitrends Backup Appliance do wersji 10.5.5 lub nowszej. Szczegółowe informacje dostępne są w oficjalnym helpdesku Kaseya pod adresem wskazanym w referencjach producenta.

Kogo dotyczy

Kaseya Unitrends Backup Appliance w wersjach przed 10.5.5

Uwagi

Dostępne są publiczne artykuły techniczne (cyberonesecurity.com) szczegółowo opisujące sposób eksploatacji podatności w dwóch częściach, co zwiększa ryzyko wykorzystania przez mniej zaawansowanych atakujących.