CVE-2022-31126

Roxy-Wi: zdalne wykonanie kodu bez uwierzytelnienia (RCE)

CVSS 10.0v3.1pub. 2022-07-06upd. 2024-11-21

Podatność w Roxy-Wi umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze poprzez wysłanie specjalnie spreparowanego żądania HTTP. Krytyczny poziom zagrożenia wynika z braku wymogu uwierzytelnienia i możliwości pełnego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

Roxy-wi is an open source web interface for managing Haproxy, Nginx, Apache and Keepalived servers. A vulnerability in Roxy-wi allows a remote, unauthenticated attacker to code execution by sending a specially crafted HTTP request to /app/options.py file. This affects Roxy-wi versions before 6.1.1.0. Users are advised to upgrade. There are no known workarounds for this issue.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie HTTP do pliku /app/options.py w interfejsie webowym Roxy-Wi. Błąd sklasyfikowany jako CWE-74 (injection) pozwala na wstrzyknięcie i wykonanie złośliwego kodu bez konieczności posiadania jakichkolwiek poświadczeń. Podatność jest dostępna sieciowo, nie wymaga interakcji użytkownika ani szczególnych uprawnień.

Skutki

Atakujący może wykonać dowolny kod na serwerze z uprawnieniami procesu aplikacji, co w praktyce może prowadzić do pełnego przejęcia systemu zarządzającego serwerami Haproxy, Nginx, Apache i Keepalived. Konsekwencją może być naruszenie poufności i integralności infrastruktury sieciowej zarządzanej przez Roxy-Wi.

Mitygacja

Należy jak najszybciej zaktualizować Roxy-Wi do wersji 6.1.1.0 lub nowszej. Producent nie wskazuje żadnych obejść (workarounds) dla tej podatności — aktualizacja jest jedynym zalecanym środkiem zaradczym.