CVE-2023-29268

Nieuwierzytelniony upload/modyfikacja plików w TIBCO Spotfire Statistics Services

CVSS 9.8v3.1pub. 2023-04-26upd. 2025-01-30

Komponent Splus Server w TIBCO Spotfire Statistics Services zawiera krytyczną podatność umożliwiającą nieuwierzytelnionemu atakującemu zdalne wgrywanie lub modyfikację dowolnych plików w katalogu serwera webowego. Brak wymagań dotyczących uwierzytelnienia w połączeniu z możliwością zapisu plików czyni tę podatność wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

The Splus Server component of TIBCO Software Inc.'s TIBCO Spotfire Statistics Services contains a vulnerability that allows an unauthenticated remote attacker to upload or modify arbitrary files within the web server directory on the affected system. Affected releases are TIBCO Software Inc.'s TIBCO Spotfire Statistics Services: versions 11.4.10 and below, versions 11.5.0, 11.6.0, 11.6.1, 11.6.2, 11.7.0, 11.8.0, 11.8.1, 12.0.0, 12.0.1, and 12.0.2, versions 12.1.0 and 12.2.0.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej weryfikacji przesyłanych plików (CWE-434 — Unrestricted Upload of File with Dangerous Type) w komponencie Splus Server. Atakujący może bez jakiegokolwiek uwierzytelnienia wysłać żądanie sieciowe powodujące upload lub nadpisanie dowolnego pliku w katalogu serwera webowego. Możliwość umieszczenia lub modyfikacji plików w tym katalogu otwiera drogę do wykonania złośliwego kodu po stronie serwera.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez wgranie złośliwego pliku (np. webshell) lub modyfikację istniejących plików aplikacji, co może prowadzić do RCE, naruszenia poufności danych oraz całkowitego przejęcia systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez TIBCO Software Inc. pod adresem https://www.tibco.com/services/support/advisories. Zaleca się niezwłoczną aktualizację do wersji wolnej od podatności oraz ograniczenie dostępu sieciowego do komponentu Splus Server wyłącznie do zaufanych adresów IP do czasu wdrożenia poprawki.

Kogo dotyczy

TIBCO Spotfire Statistics Services w wersjach: 11.4.10 i wcześniejszych, 11.5.0, 11.6.0, 11.6.1, 11.6.2, 11.7.0, 11.8.0, 11.8.1, 12.0.0, 12.0.1, 12.0.2, 12.1.0 oraz 12.2.0.