CVE-2023-29474

RCE bez uwierzytelnienia w Atos Unify OpenScape 4000 – command injection

CVSS 9.8v3.1pub. 2023-04-06upd. 2025-02-12

Podatność typu command injection w komponencie inventory platformy Atos Unify OpenScape 4000 oraz OpenScape 4000 Manager umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Krytyczny poziom zagrożenia wynika z braku jakichkolwiek wymagań co do uwierzytelnienia i dostępu sieciowego.

▸ Pokaż oryginał (EN)

inventory in Atos Unify OpenScape 4000 Platform and OpenScape 4000 Manager Platform 10 R1 before 10 R1.34.4 allows an unauthenticated attacker to run arbitrary commands on the platform operating system and achieve administrative access, aka OSFOURK-23552.

🤖 Analiza AI

Jak działa

Komponent inventory obu platform nie weryfikuje tożsamości użytkownika przed przetworzeniem żądań, co klasyfikuje podatność również jako Auth Bypass. Atakujący może wysyłać spreparowane żądania sieciowe zawierające złośliwe polecenia systemowe (command injection, CWE-77), które są następnie wykonywane bezpośrednio w kontekście systemu operacyjnego platformy. Exploit nie wymaga interakcji użytkownika ani szczególnych warunków sieciowych.

Skutki

Atakujący może uzyskać pełen dostęp administracyjny do systemu operacyjnego platformy, co umożliwia przejęcie kontroli nad urządzeniem, kradzież danych konfiguracyjnych, a także dalszy lateral movement w sieci organizacji.

Mitygacja

Należy zaktualizować platformę do wersji 10 R1.34.4 lub nowszej. Szczegółowe informacje dostępne w oficjalnym biuletynie bezpieczeństwa producenta: OBSO-2303-01 (https://networks.unify.com/security/advisories/OBSO-2303-01.pdf). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do komponentu inventory wyłącznie do zaufanych hostów.

Kogo dotyczy

Atos Unify OpenScape 4000 Platform oraz OpenScape 4000 Manager Platform w wersji 10 R1 przed 10 R1.34.4

Uwagi

Podatność jest śledzona przez producenta pod wewnętrznym identyfikatorem OBSO-2303-01 / OSFOURK-23552. BSI (Federalny Urząd ds. Bezpieczeństwa Informacji w Niemczech) wydał ostrzeżenie dotyczące tej podatności.