CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2022-47986

RCE przez YAML deserialization w IBM Aspera Faspex

CVSS 9.8v3.1pub. 2023-02-17upd. 2025-10-27

IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze wersje zawierają krytyczną lukę typu YAML deserialization, umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu na serwerze bez uwierzytelnienia. Podatność jest aktywnie wykorzystywana przez atakujących, co czyni ją zagrożeniem wymagającym natychmiastowej reakcji.

▸ Pokaż oryginał (EN)

IBM Aspera Faspex 4.4.2 Patch Level 1 and earlier could allow a remote attacker to execute arbitrary code on the system, caused by a YAML deserialization flaw. By sending a specially crafted obsolete API call, an attacker could exploit this vulnerability to execute arbitrary code on the system. The obsolete API call was removed in Faspex 4.4.2 PL2. IBM X-Force ID: 243512.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądanie do przestarzałego punktu API aplikacji IBM Aspera Faspex. Żądanie zawiera złośliwy payload w formacie YAML, który podczas deserializacji po stronie serwera jest interpretowany jako kod do wykonania. Mechanizm ten klasyfikowany jest jako CWE-502 (Deserialization of Untrusted Data) i nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika. Podatny endpoint API został usunięty dopiero w wersji Faspex 4.4.2 PL2.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem poprzez zdalne wykonanie dowolnego kodu (RCE), co obejmuje możliwość naruszenia poufności, integralności i dostępności danych oraz systemu operacyjnego.

Mitygacja

Należy niezwłocznie zaktualizować IBM Aspera Faspex do wersji 4.4.2 Patch Level 2 (PL2) lub nowszej, w której podatny przestarzały endpoint API został usunięty. Szczegółowe informacje dostępne są w biuletynie bezpieczeństwa IBM pod adresem: https://www.ibm.com/support/pages/node/6952319

Kogo dotyczy

IBM Aspera Faspex 4.4.2 Patch Level 1 i wcześniejsze, działające na systemach Linux oraz Microsoft Windows.

Uwagi

Podatność posiada publicznie dostępny exploit opublikowany w serwisie Packet Storm Security. IBM X-Force ID: 243512. Podatny endpoint API (obsolete API call) został celowo usunięty w wersji 4.4.2 PL2.