CVE-2023-20853

Deserializacja niezaufanych danych w aEnrich a+HRD (MSMQ) — RCE bez uwierzytelnienia

CVSS 9.8v3.1pub. 2023-04-27upd. 2024-11-21

System kadrowo-płacowy aEnrich Technology a+HRD zawiera krytyczną podatność na deserializację niezaufanych danych w komponencie obsługującym asynchroniczne kolejkowanie komunikatów MSMQ. Nieuwiertelniony zdalny atakujący może wykorzystać ją do wykonania dowolnych poleceń systemowych.

▸ Pokaż oryginał (EN)

aEnrich Technology a+HRD has a vulnerability of Deserialization of Untrusted Data within its MSMQ asynchronized message process. An unauthenticated remote attacker can exploit this vulnerability to execute arbitrary system commands to perform arbitrary system operation or disrupt service.

🤖 Analiza AI

Jak działa

Podatność (CWE-502) tkwi w mechanizmie przetwarzania wiadomości asynchronicznych opartym na MSMQ. Aplikacja deserializuje dane otrzymane z kolejki bez uprzedniej weryfikacji ich pochodzenia ani integralności. Atakujący może przesłać specjalnie spreparowany, złośliwy payload do kolejki MSMQ, który podczas deserializacji zostaje wykonany jako polecenie systemowe w kontekście procesu aplikacji. Brak wymogu uwierzytelnienia (PR:N, UI:N) oznacza, że exploit może być przeprowadzony bezpośrednio przez sieć bez jakiejkolwiek interakcji użytkownika.

Skutki

Atakujący może wykonać dowolne polecenia systemowe, przejąć pełną kontrolę nad serwerem aplikacji lub zakłócić ciągłość działania usługi (dostępność, integralność i poufność danych są w pełni zagrożone zgodnie z wektorem CVSS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły dostępne w biuletynie TWCERT/CC pod adresem https://www.twcert.org.tw/tw/cp-132-7024-bdefe-1.html. Dodatkowo zaleca się ograniczenie dostępu sieciowego do portów MSMQ (domyślnie TCP/UDP 1801) wyłącznie do zaufanych hostów za pomocą firewall, do czasu zastosowania patcha.