CVE-2023-6593

Pomijanie uprawnień po stronie klienta w Devolutions Remote Desktop Manager na iOS

CVSS 9.8v3.1pub. 2023-12-12upd. 2024-11-21

Podatność w Devolutions Remote Desktop Manager 2023.3.4.0 i wcześniejszych na iOS pozwala atakującemu mającemu dostęp do aplikacji na wykonywanie wpisów w źródle danych SQL bez żadnych ograniczeń. Wysoki wynik CVSS 9.8 wynika z braku wymagań co do uprawnień i interakcji użytkownika.

▸ Pokaż oryginał (EN)

Client side permission bypass in Devolutions Remote Desktop Manager 2023.3.4.0 and earlier on iOS allows an attacker that has access to the application to execute entries in a SQL data source without restriction.

🤖 Analiza AI

Jak działa

Mechanizm kontroli uprawnień jest implementowany wyłącznie po stronie klienta (client side), co oznacza, że można go ominąć bez modyfikowania serwera. Atakujący posiadający dostęp do aplikacji na urządzeniu iOS może obejść nałożone restrykcje i wykonywać wpisy w źródle danych SQL, do których normalnie nie powinien mieć dostępu. Błąd sklasyfikowany jest jako CWE-732, czyli nieprawidłowe przypisanie uprawnień do zasobów krytycznych.

Skutki

Atakujący może wykonywać dowolne wpisy w źródle danych SQL bez ograniczeń, co prowadzi do potencjalnego nieautoryzowanego dostępu do danych, ich modyfikacji lub naruszenia poufności i integralności przechowywanych połączeń zdalnych.

Mitygacja

Należy zaktualizować Devolutions Remote Desktop Manager do wersji wyższej niż 2023.3.4.0. Szczegółowe informacje o dostępnych patchach znajdują się w oficjalnym biuletynie producenta: https://devolutions.net/security/advisories/DEVO-2023-0023/