CVE-2024-11313

Path Traversal i nieograniczony upload plików w TRCore DVC umożliwiający RCE

CVSS 9.8v3.1pub. 2024-11-18upd. 2024-11-20

Produkt DVC firmy TRCore zawiera podatność typu Path Traversal oraz brak walidacji typów przesyłanych plików. Nieuwierzytelniony atakujący zdalnie może przesłać dowolny plik do dowolnego katalogu na serwerze, co prowadzi do wykonania kodu poprzez upload webshella.

▸ Pokaż oryginał (EN)

The DVC from TRCore has a Path Traversal vulnerability and does not restrict the types of uploaded files. This allows unauthenticated remote attackers to upload arbitrary files to any directory, leading to arbitrary code execution by uploading webshells.

🤖 Analiza AI

Jak działa

Podatność wynika z dwóch niezależnych słabości: braku właściwej walidacji ścieżki przesyłanego pliku (Path Traversal, CWE-22/CWE-23) oraz braku ograniczeń co do typu przesyłanych plików (CWE-434). Atakujący, bez konieczności uwierzytelniania, może skonstruować żądanie przesyłające plik webshell do dowolnego katalogu dostępnego na serwerze. Po umieszczeniu webshella w katalogu dostępnym przez serwer WWW, atakujący uzyskuje możliwość wykonania dowolnych poleceń systemowych.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem poprzez wykonanie dowolnego kodu (RCE) z poziomu konta serwera aplikacji, co zagraża poufności, integralności i dostępności całego systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez TWCERT (https://www.twcert.org.tw/en/cp-139-8251-3455e-2.html). Do czasu aktualizacji zaleca się ograniczenie dostępu do interfejsu uploadu plików na poziomie firewalla lub sieci oraz wyłączenie możliwości anonimowego przesyłania plików.