CVE-2024-11311

Path Traversal i unrestricted file upload w TRCore DVC — RCE bez uwierzytelnienia

CVSS 9.8v3.1pub. 2024-11-18upd. 2024-11-20

Aplikacja DVC firmy TRCore zawiera podatność Path Traversal oraz nie ogranicza typów przesyłanych plików. Umożliwia to nieuwierzytelnionemu zdalnemu atakującemu wgranie dowolnych plików (w tym webshelli) do dowolnego katalogu na serwerze, co prowadzi do pełnego wykonania kodu.

▸ Pokaż oryginał (EN)

The DVC from TRCore has a Path Traversal vulnerability and does not restrict the types of uploaded files. This allows unauthenticated remote attackers to upload arbitrary files to any directory, leading to arbitrary code execution by uploading webshells.

🤖 Analiza AI

Jak działa

Atakujący bez żadnego uwierzytelnienia może przesłać do aplikacji plik dowolnego typu, wykorzystując brak walidacji rozszerzenia lub zawartości pliku. Dzięki podatności Path Traversal (CWE-22/CWE-23) może wskazać docelowy katalog poza zamierzonym obszarem aplikacji. Po umieszczeniu webshella w odpowiedniej lokalizacji atakujący uzyskuje możliwość wykonywania poleceń systemowych za pośrednictwem żądań HTTP.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez wykonanie dowolnego kodu (RCE) — zagrożona jest poufność, integralność i dostępność systemu. Skutkiem może być przejęcie serwera, eksfiltracja danych lub dalszy ruch w sieci (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez TWCERT (https://www.twcert.org.tw/en/cp-139-8247-83457-2.html). Jako tymczasowe obejście należy rozważyć ograniczenie dostępu do funkcji przesyłania plików na poziomie firewall lub WAF oraz blokadę nieuwierzytelnionych żądań do endpointów upload.