CVE-2024-37770

RCE w funkcji fingerprint narzędzia 14Finger v1.1

CVSS 9.1v3.1pub. 2024-07-10upd. 2025-07-01

W narzędziu 14Finger w wersji 1.1 odkryto krytyczną podatność umożliwiającą zdalne wykonanie poleceń (RCE) w funkcji fingerprint. Atakujący nieuwierzytelniony sieciowo może wykonać dowolne polecenia systemowe bez żadnej interakcji użytkownika.

▸ Pokaż oryginał (EN)

14Finger v1.1 was discovered to contain a remote command execution (RCE) vulnerability in the fingerprint function. This vulnerability allows attackers to execute arbitrary commands via a crafted payload.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-94 (improper control of code generation) dotyczy funkcji fingerprint w aplikacji 14Finger. Atakujący może przesłać specjalnie spreparowany payload, który zostaje nieprawidłowo przetworzony przez tę funkcję, skutkując wykonaniem wstrzykniętych poleceń w kontekście aplikacji. Brak wymagań dotyczących uwierzytelnienia oraz złożoności ataku (AC:L, PR:N) sprawia, że podatność jest wyjątkowo łatwa do wykorzystania.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem poprzez wykonanie dowolnych poleceń — prowadzi to do ujawnienia poufnych danych oraz modyfikacji lub usunięcia zasobów systemowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu pod adresem https://github.com/b1ackc4t/14Finger w celu uzyskania aktualizacji. Do czasu wydania poprawki należy rozważyć ograniczenie dostępu sieciowego do aplikacji.

Kogo dotyczy

B1Ackc4T 14Finger w wersji 1.1

Uwagi

Dla tej podatności istnieje publiczne repozytorium proof-of-concept dostępne pod adresem https://github.com/k3ppf0r/CVE-2024-37770, co może obniżyć próg wejścia dla potencjalnych atakujących.