CVE-2022-44006

Path Traversal i RCE w BACKCLICK Professional 5.9.63

CVSS 9.8v3.1pub. 2022-11-16upd. 2025-04-30

W oprogramowaniu BACKCLICK Professional 5.9.63 wykryto krytyczną podatność typu path traversal w funkcji aktualizacji, dostępnej bez uwierzytelnienia z zewnątrz. Błąd umożliwia zapis plików poza docelowym katalogiem, co w konsekwencji prowadzi do zdalnego wykonania kodu (RCE).

▸ Pokaż oryginał (EN)

An issue was discovered in BACKCLICK Professional 5.9.63. Due to improper validation or sanitization of upload filenames, an externally reachable, unauthenticated update function permits writing files outside the intended target location. Achieving remote code execution is possible, e.g., by uploading an executable file.

🤖 Analiza AI

Jak działa

Funkcja aktualizacji w BACKCLICK Professional nie weryfikuje poprawnie ani nie oczyszcza nazw przesyłanych plików, co stanowi klasyczny błąd path traversal (CWE-22). Ponieważ endpoint jest dostępny bez uwierzytelnienia i osiągalny z sieci zewnętrznej, atakujący może przesłać plik z odpowiednio spreparowaną nazwą zawierającą sekwencje przejścia katalogu (np. '../'), co pozwala na zapis pliku w dowolnej lokalizacji systemu. Przykładem exploitacji jest przesłanie wykonywalnego pliku poza zamierzony katalog docelowy, co następnie umożliwia zdalne wykonanie kodu.

Skutki

Nieuwierzytelniony zdalny atakujący może uzyskać pełną kontrolę nad systemem poprzez wykonanie dowolnego kodu — zagrożone są poufność, integralność i dostępność danych oraz całego serwera.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do funkcji aktualizacji na poziomie firewall do czasu zastosowania poprawki.

Kogo dotyczy

BACKCLICK Professional w wersji 5.9.63

Uwagi

Podatność została odkryta i zgłoszona przez firmę SySS GmbH, która opublikowała szczegółowe advisory (SYSS-2022-031) oraz wpis na blogu opisujący szereg podatności w BACKCLICK Professional (SYSS-2022-026 do SYSS-2022-037).