CVE-2022-34824

Słabe uprawnienia do plików umożliwiają RCE w NEC EXPRESSCLUSTER X

CVSS 9.8v3.1pub. 2022-11-08upd. 2025-05-01

Podatność w NEC EXPRESSCLUSTER X oraz CLUSTERPRO X (wersje 5.0 i wcześniejsze dla Windows) wynika z nieprawidłowo skonfigurowanych uprawnień do plików i folderów. Zdalny, nieuwierzytelniony atakujący może nadpisać istniejące pliki systemowe, a w konsekwencji wykonać dowolny kod na serwerze.

▸ Pokaż oryginał (EN)

Weak File and Folder Permissions vulnerability in CLUSTERPRO X 5.0 for Windows and earlier, EXPRESSCLUSTER X 5.0 for Windows and earlier, CLUSTERPRO X 5.0 SingleServerSafe for Windows and earlier, EXPRESSCLUSTER X 5.0 SingleServerSafe for Windows and earlier allows a remote unauthenticated attacker to overwrite existing files on the file system and to potentially execute arbitrary code.

🤖 Analiza AI

Jak działa

Oprogramowanie NEC EXPRESSCLUSTER X oraz CLUSTERPRO X przyznaje nadmiarowe uprawnienia do krytycznych plików lub folderów (CWE-276 — Incorrect Default Permissions). Atakujący zdalny, nieposiadający żadnych poświadczeń, może wykorzystać te słabe uprawnienia do nadpisania istniejących plików w systemie plików. Poprzez podmianę odpowiednich plików wykonywalnych lub konfiguracyjnych możliwe jest doprowadzenie do wykonania dowolnego kodu w kontekście aplikacji lub systemu.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem poprzez wykonanie dowolnego kodu (RCE) bez konieczności uwierzytelniania, a także naruszyć integralność i dostępność danych na hoście.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://jpn.nec.com/security-info/secinfo/nv22-014_en.html

Kogo dotyczy

CLUSTERPRO X 5.0 dla Windows i wcześniejsze, EXPRESSCLUSTER X 5.0 dla Windows i wcześniejsze, CLUSTERPRO X 5.0 SingleServerSafe dla Windows i wcześniejsze, EXPRESSCLUSTER X 5.0 SingleServerSafe dla Windows i wcześniejsze