CVE-2023-23076

Command injection w Zoho ManageEngine SupportCenter Plus 11 — tworzenie harmonogramów

CVSS 9.8v3.1pub. 2023-02-01upd. 2025-03-27

Podatność typu OS command injection w Zoho ManageEngine SupportCenter Plus 11 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnych poleceń systemowych. Ze względu na brak wymagań dotyczących uwierzytelnienia i dostępność przez sieć, podatność jest klasyfikowana jako krytyczna (CVSS 9.8).

▸ Pokaż oryginał (EN)

OS Command injection vulnerability in Support Center Plus 11 via Executor in Action when creating new schedules.

🤖 Analiza AI

Jak działa

Podatność występuje w komponencie Executor, wykorzystywanym podczas tworzenia nowych harmonogramów (schedules) w module Action. Aplikacja nie waliduje w odpowiedni sposób danych wejściowych dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych poleceń systemowych (OS command injection). Atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które zostaną następnie wykonane przez system operacyjny z uprawnieniami procesu aplikacji.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem operacyjnym serwera, na którym uruchomiony jest SupportCenter Plus, w tym odczytać poufne dane, zmodyfikować konfigurację systemu lub doprowadzić do jego niedostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje dostępne pod adresem https://www.manageengine.com/products/support-center/CVE-2023-23076.html