CVE-2023-3047

SQL Injection w TMT Lockcell — krytyczna podatność bez uwierzytelnienia

CVSS 9.8v3.1pub. 2023-06-13upd. 2024-11-21

W oprogramowaniu TMT Lockcell (wersje przed 15) wykryto krytyczną podatność typu SQL Injection umożliwiającą nieuwierzytelnionemu atakującemu manipulację bazą danych. Wysoki wynik CVSS 9.8 i brak wymagań wstępnych czynią tę lukę szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in TMT Lockcell allows SQL Injection.This issue affects Lockcell: before 15.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej neutralizacji znaków specjalnych w zapytaniach SQL (CWE-89). Atakujący może wstrzyknąć złośliwe fragmenty kodu SQL bezpośrednio do zapytań wykonywanych przez aplikację. Atak nie wymaga uwierzytelnienia, interakcji użytkownika ani szczególnych uprawnień, a wektor sieciowy oznacza możliwość przeprowadzenia go zdalnie przez sieć.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie, zmodyfikować lub usunąć wrażliwe informacje, a w zależności od konfiguracji środowiska — potencjalnie przejąć pełną kontrolę nad systemem (pełne naruszenie poufności, integralności i dostępności).

Mitygacja

Należy niezwłocznie zaktualizować oprogramowanie TMT Lockcell do wersji 15 lub nowszej. Rekomenduje się również zastosowanie reguł WAF ograniczających możliwość wstrzykiwania znaków specjalnych SQL oraz ograniczenie dostępu sieciowego do systemu wyłącznie do zaufanych adresów IP.

Kogo dotyczy

TMT Lockcell oraz TMT Lockcell Firmware — wszystkie wersje przed wersją 15

Uwagi

Podatność została zgłoszona przez USOM (tureckie CERT) pod numerem TR-23-0345. Szczegóły techniczne dostępne są w analizie opublikowanej przez fordefence.com.