CVE-2022-1519

Unrestricted File Upload umożliwiający RCE w Illumina Local Run Manager

CVSS 10.0v3.1pub. 2022-06-24upd. 2024-11-21

Illumina Local Run Manager (LRM) nie weryfikuje typów przesyłanych plików, co umożliwia atakującemu wgranie i wykonanie dowolnego kodu na podatnym urządzeniu. Podatność uzyskała maksymalny wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem dla systemów diagnostycznych.

▸ Pokaż oryginał (EN)

LRM does not restrict the types of files that can be uploaded to the affected product. A malicious actor can upload any file type, including executable code that allows for a remote code exploit.

🤖 Analiza AI

Jak działa

Mechanizm przesyłania plików w LRM nie implementuje żadnej walidacji rozszerzeń ani typów MIME, przez co atakujący może przesłać dowolny plik — w tym wykonywalny kod (np. webshell lub inny payload). Po wgraniu złośliwego pliku atakujący może doprowadzić do jego wykonania po stronie serwera, uzyskując tym samym zdalną kontrolę nad systemem (RCE). Brak wymagania uwierzytelnienia oraz interakcji użytkownika (PR:N, UI:N) sprawia, że atak może być przeprowadzony przez sieć bez żadnych wcześniejszych uprawnień.

Skutki

Atakujący może uzyskać pełną zdalną kontrolę nad podatnym systemem, w tym możliwość odczytu, modyfikacji lub usunięcia danych, a także dalszego lateral movement w sieci. W kontekście urządzeń medycznych i diagnostycznych naruszenie integralności lub dostępności systemu może mieć poważne konsekwencje dla bezpieczeństwa pacjentów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (poradnik CISA ICS-CERT ICSA-22-153-02: https://www.cisa.gov/uscert/ics/advisories/icsa-22-153-02). Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu LRM wyłącznie do zaufanych hostów oraz wdrożenie segmentacji sieci dla urządzeń diagnostycznych.

Kogo dotyczy

Illumina Local Run Manager (LRM) zainstalowany na urządzeniach: Illumina iSeq 100, Illumina MiniSeq, Illumina MiSeq, Illumina MiSeq Dx — konkretne wersje wskazane w referencjach producenta (poradnik CISA ICS-CERT ICSA-22-153-02)

Uwagi

Podatność dotyczy urządzeń sekwencjonowania DNA klasy medycznej/badawczej (ICS/OT). Poradnik opublikowany przez CISA ICS-CERT pod numerem ICSA-22-153-02.