CVE-2023-37502

HCL Compass — niebezpieczne przesyłanie plików umożliwiające RCE

CVSS 9.0v3.1pub. 2023-10-18upd. 2024-11-21

HCL Compass zawiera podatność typu unrestricted file upload (CWE-434), która pozwala atakującemu na wgranie plików zawierających aktywny kod wykonywalny. Stanowi to poważne zagrożenie, ponieważ przesłany kod może zostać uruchomiony zarówno po stronie serwera, jak i w przeglądarce internetowej użytkownika.

▸ Pokaż oryginał (EN)

HCL Compass is vulnerable to lack of file upload security. An attacker could upload files containing active code that can be executed by the server or by a user's web browser.

🤖 Analiza AI

Jak działa

Aplikacja HCL Compass nie implementuje wystarczających mechanizmów weryfikacji przesyłanych plików — brakuje skutecznej kontroli typu, rozszerzenia lub zawartości pliku. Uwierzytelniony atakujący o niskich uprawnieniach może przesłać plik zawierający złośliwy kod (np. skrypt serwerowy lub skrypt po stronie klienta). Serwer lub przeglądarka ofiary może następnie wykonać ten kod, co prowadzi do przejęcia kontroli nad systemem lub sesją użytkownika.

Skutki

Atakujący może uzyskać możliwość zdalnego wykonania kodu (RCE) na serwerze lub przeprowadzić atak na użytkowników aplikacji poprzez wykonanie złośliwego kodu w ich przeglądarkach, co skutkuje pełnym naruszeniem poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o poprawkach zawiera artykuł KB0107510 dostępny w portalu wsparcia HCL (https://support.hcltechsw.com).