CVE-2024-38886

Traffic Injection w Horizoncloud Caterease – brak weryfikacji źródła komunikacji

CVSS 9.8v3.1pub. 2024-08-02upd. 2026-07-05

Podatność w oprogramowaniu Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu przeprowadzenie ataku typu Traffic Injection. Wynika ona z nieprawidłowej weryfikacji źródła kanału komunikacyjnego, co przy ocenie CVSS 9.8 czyni ją zagrożeniem krytycznym.

▸ Pokaż oryginał (EN)

An issue in Horizon Business Services Inc. Caterease 16.0.1.1663 through 24.0.1.2405 and possibly later versions, allows a remote attacker to perform a Traffic Injection attack due to improper verification of the source of a communication channel.

🤖 Analiza AI

Jak działa

Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może wstrzyknąć złośliwy ruch sieciowy do kanału komunikacyjnego aplikacji. Przyczyną jest brak odpowiedniej weryfikacji źródła komunikacji (CWE-940 – Improper Verification of Source of a Communication Channel), co pozwala na podstawienie lub modyfikację przesyłanych danych. Wektor ataku jest sieciowy, a niska złożoność ataku sprawia, że może być on realizowany w sposób zautomatyzowany.

Skutki

Atakujący może uzyskać pełen dostęp do poufnych danych, zmodyfikować lub usunąć dane przetwarzane przez aplikację, a także doprowadzić do niedostępności systemu – co odpowiada najwyższym ocenom poufności, integralności i dostępności (C:H/I:H/A:H) w skali CVSS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie aktualizacji na stronie producenta (caterease.com) oraz niezwłoczne wdrożenie poprawek po ich udostępnieniu. Rekomenduje się również ograniczenie dostępu sieciowego do aplikacji Caterease wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Horizoncloud Caterease w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz potencjalnie w wersjach późniejszych.

Uwagi

Podatność została udokumentowana w serwisie Packet Storm Security (plik 179892), gdzie opisano również powiązane problemy dotyczące SQL Injection oraz Command Injection Bypass w tym samym oprogramowaniu.