CVE-2023-32757

e-Excellence U-Office Force — niekontrolowany upload pliku umożliwiający RCE

CVSS 9.8v3.1pub. 2023-08-25upd. 2024-11-21

Funkcja przesyłania plików w systemie e-Excellence U-Office Force nie weryfikuje typu wgrywanych plików, co pozwala nieuprawnionemu atakującemu na zdalne wykonanie dowolnego kodu lub zakłócenie działania usługi. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

e-Excellence U-Office Force file uploading function does not restrict upload of file with dangerous type. An unauthenticated remote attacker without logging the service can exploit this vulnerability to upload arbitrary files to perform arbitrary command or disrupt service.

🤖 Analiza AI

Jak działa

Mechanizm upload'u plików w aplikacji U-Office Force nie implementuje skutecznych restrykcji dotyczących rozszerzeń ani typów przesyłanych plików (CWE-434 — Unrestricted Upload of File with Dangerous Type). Nieunauthentykowany atakujący zdalnie wysyła spreparowany plik niebezpiecznego typu (np. skrypt wykonywalny) bezpośrednio do podatnego endpointu bez konieczności logowania się do systemu. Po wgraniu pliku może go wywołać, uzyskując możliwość wykonania dowolnych poleceń systemowych po stronie serwera.

Skutki

Atakujący może przejąć pełną kontrolę nad serwerem poprzez zdalne wykonanie dowolnego kodu (RCE), a także zakłócić lub całkowicie uniemożliwić działanie usługi (denial of service).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.twcert.org.tw/tw/cp-132-7330-94442-1.html). Dodatkowo, do czasu wdrożenia aktualizacji, zaleca się ograniczenie dostępu do funkcji przesyłania plików na poziomie firewall lub WAF oraz monitorowanie prób wgrywania podejrzanych plików.