CVE-2022-39365

Pimcore — server-side template injection umożliwiający RCE

CVSS 9.8v3.1pub. 2022-10-27upd. 2024-11-21

Pimcore w wersjach poprzedzających 10.5.9 jest podatny na wstrzykiwanie szablonów po stronie serwera (server-side template injection) w mechanizmach renderowania szablonów Twig kontrolowanych przez użytkownika. Podatność może prowadzić do zdalnego wykonania kodu (RCE) bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

Pimcore is an open source data and experience management platform. Prior to version 10.5.9, the user controlled twig templates rendering in `Pimcore/Mail` & `ClassDefinition\Layout\Text` is vulnerable to server-side template injection, which could lead to remote code execution. Version 10.5.9 contains a patch for this issue. As a workaround, one may apply the patch manually.

🤖 Analiza AI

Jak działa

Komponenty `Pimcore/Mail` oraz `ClassDefinition\Layout\Text` umożliwiają renderowanie szablonów Twig, których treść może być dostarczana przez użytkownika. Brak odpowiedniej walidacji i izolacji danych wejściowych pozwala atakującemu na osadzenie złośliwych wyrażeń w szablonie Twig. Wyrażenia te są następnie interpretowane i wykonywane po stronie serwera w kontekście aplikacji, co otwiera możliwość uruchomienia dowolnego kodu.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez zdalne wykonanie dowolnego kodu (RCE), co potencjalnie skutkuje naruszeniem poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zaktualizować Pimcore do wersji 10.5.9, która zawiera oficjalną poprawkę. Alternatywnie, producent wskazuje możliwość ręcznego zastosowania patcha dostępnego pod adresem: https://github.com/pimcore/pimcore/pull/13347.patch