CVE-2022-47911

Command Injection w Sewio RTLS Studio — wykonanie dowolnych poleceń systemowych

CVSS 9.1v3.1pub. 2023-01-18upd. 2024-11-21

Sewio Real-Time Location System (RTLS) Studio w wersjach od 2.0.0 do 2.6.2 włącznie jest podatne na command injection w module usług backupu. Luka umożliwia zdalnemu atakującemu wykonanie dowolnych poleceń systemowych na serwerze.

▸ Pokaż oryginał (EN)

Sewio’s Real-Time Location System (RTLS) Studio version 2.0.0 up to and including version 2.6.2 does not properly validate the input module name to the backup services of the software. This could allow a remote attacker to access sensitive functions of the application and execute arbitrary system commands.

🤖 Analiza AI

Jak działa

Aplikacja nie przeprowadza właściwej walidacji parametru zawierającego nazwę modułu przekazywanego do usług backupu. Atakujący może dostarczyć spreparowane dane wejściowe zawierające złośliwe polecenia systemowe, które zostaną wykonane przez aplikację w kontekście serwera. Wykorzystanie podatności umożliwia dostęp do wrażliwych funkcji aplikacji, a następnie eskalację do wykonania dowolnego kodu.

Skutki

Atakujący może przejąć pełną kontrolę nad systemem poprzez wykonanie dowolnych poleceń systemowych, co może skutkować ujawnieniem poufnych danych, modyfikacją konfiguracji lub całkowitym przejęciem serwera RTLS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje dotyczące aktualizacji dostępne są w poradniku CISA ICS-CERT pod adresem: https://www.cisa.gov/uscert/ics/advisories/icsa-23-012-01

Kogo dotyczy

Sewio Real-Time Location System (RTLS) Studio w wersjach od 2.0.0 do 2.6.2 włącznie.

Uwagi

Podatność została opisana w poradniku CISA ICS-CERT (ICSA-23-012-01) opublikowanym 12 stycznia 2023 r. Dotyczy systemu klasy OT/IIoT stosowanego do śledzenia lokalizacji w czasie rzeczywistym, co może mieć istotne znaczenie w środowiskach przemysłowych.