CVE-2022-28443

UCMS v1.6 — podatność umożliwiająca usuwanie dowolnych plików

CVSS 9.1v3.1pub. 2022-04-21upd. 2024-11-21

W systemie zarządzania treścią UCMS w wersji 1.6 odkryto podatność umożliwiającą nieuprawnione usuwanie dowolnych plików na serwerze. Błąd jest krytyczny, ponieważ nieautoryzowany atakujący zdalnie może uszkodzić lub zniszczyć dane aplikacji bez żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

UCMS v1.6 was discovered to contain an arbitrary file deletion vulnerability.

🤖 Analiza AI

Jak działa

Podatność polega na braku odpowiedniej walidacji i kontroli uprawnień przy operacjach usuwania plików w aplikacji UCMS. Atakujący może wysłać spreparowane żądanie sieciowe wskazujące na dowolny plik dostępny dla procesu aplikacji, co skutkuje jego trwałym usunięciem. Wektor ataku jest sieciowy (AV:N), nie wymaga uwierzytelnienia (PR:N) ani interakcji użytkownika (UI:N), co czyni exploit szczególnie łatwym do przeprowadzenia.

Skutki

Atakujący może trwale usunąć dowolne pliki dostępne dla aplikacji, co może prowadzić do całkowitego unieruchomienia serwisu, utraty danych lub zniszczenia konfiguracji systemu. Podatność wpływa krytycznie na integralność i dostępność systemu (I:H, A:H).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu do instancji UCMS na poziomie firewall do zaufanych adresów IP oraz regularne tworzenie kopii zapasowych plików i bazy danych.

Kogo dotyczy

UCMS Project UCMS w wersji 1.6

Uwagi

Jedyna dostępna referencja wskazuje na profil GitHub użytkownika k0xx11, który prawdopodobnie jest odkrywcą podatności. Szczegółowy opis techniki eksploitacji nie został upubliczniony w dostępnych źródłach.