CVE-2023-3368

Command injection w Chamilo LMS umożliwiający RCE bez uwierzytelnienia

CVSS 9.8v3.1pub. 2023-11-28upd. 2024-11-21

Podatność command injection w pliku `/main/webservices/additional_webservices.php` systemu Chamilo LMS w wersjach do 1.11.20 włącznie pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE). Jest to ominięcie wcześniej opublikowanej poprawki dla CVE-2023-34960, co czyni ją szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Command injection in `/main/webservices/additional_webservices.php` in Chamilo LMS <= v1.11.20 allows unauthenticated attackers to obtain remote code execution via improper neutralisation of special characters. This is a bypass of CVE-2023-34960.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w parametrach przekazywanych do endpointu webservices. Atakujący może skonstruować spreparowane żądanie HTTP zawierające złośliwe znaki specjalne, które nie są odpowiednio filtrowane, co prowadzi do wstrzyknięcia i wykonania dowolnych poleceń systemowych po stronie serwera. Mechanizm stanowi obejście (bypass) poprzedniej poprawki dla CVE-2023-34960, wskazując że pierwotna mitigacja była niewystarczająca.

Skutki

Nieuwierzytelniony atakujący może uzyskać pełne zdalne wykonanie kodu (RCE) na serwerze hostującym Chamilo LMS, co w praktyce oznacza możliwość przejęcia kontroli nad systemem, kradzieży danych, instalacji backdoorów lub dalszego lateral movement w sieci.

Mitygacja

Należy zaktualizować Chamilo LMS do wersji zawierającej poprawki wskazane w commitach producenta (37be9ce7243a30259047dd4517c48ff8b21d657a oraz 4c69b294f927db62092e01b70ac9bd6e32d5b48b). Zaleca się śledzenie strony bezpieczeństwa producenta pod adresem wskazanym w referencjach oraz niezwłoczne zastosowanie dostępnych patchy.

Kogo dotyczy

Chamilo LMS w wersjach do 1.11.20 włącznie

Uwagi

Podatność stanowi bypass wcześniejszej poprawki CVE-2023-34960 — organizacje, które wdrożyły poprawkę wyłącznie dla CVE-2023-34960, nadal mogą być podatne i powinny zweryfikować stan aktualizacji.