CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2024-4358

Telerik Report Server – pominięcie uwierzytelniania (authentication bypass)

CVSS 9.8v3.1pub. 2024-05-29upd. 2025-10-31

Podatność w Progress Telerik Report Server (wersja 2024 Q1 i wcześniejsze) umożliwia nieuwierzytelnionemu atakującemu uzyskanie dostępu do chronionych funkcji serwera bez podawania danych logowania. Luka jest aktywnie wykorzystywana i posiada ocenę CVSS 9.8 (CRITICAL).

▸ Pokaż oryginał (EN)

In Progress Telerik Report Server, version 2024 Q1 (10.0.24.305) or earlier, on IIS, an unauthenticated attacker can gain access to Telerik Report Server restricted functionality via an authentication bypass vulnerability.

🤖 Analiza AI

Jak działa

Mechanizm ochrony dostępu w Telerik Report Server działającym na serwerze IIS może zostać ominięty przez nieuwierzytelnionego atakującego (CWE-290 – Authentication Bypass by Spoofing). Atakujący sieciowy nie potrzebuje żadnych uprawnień ani interakcji ze strony użytkownika, aby skorzystać z tej podatności. W rezultacie możliwe jest uzyskanie dostępu do funkcjonalności zarezerwowanych wyłącznie dla uwierzytelnionych użytkowników.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do zastrzeżonej funkcjonalności Telerik Report Server, co może prowadzić do naruszenia poufności, integralności i dostępności danych oraz usług zarządzanych przez serwer raportowania.

Mitygacja

Należy jak najszybciej zaktualizować Telerik Report Server do wersji nowszej niż 2024 Q1 (10.0.24.305), stosując patche dostępne u producenta. Szczegółowe instrukcje dostępne są w dokumentacji producenta pod adresem wskazanym w referencjach (knowledge-base/registration-auth-bypass-cve-2024-4358). Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu sieciowego do instancji Telerik Report Server wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Progress Telerik Report Server w wersji 2024 Q1 (10.0.24.305) oraz wcześniejszych, działający na serwerze IIS.

Uwagi

Podatność znajduje się w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Telerik Report Server 2024
APP
Telerik
≤ 10.0.24.305

CISA KEV — szczegółyi

Dostawcai: Progress ↗
Produkti: Telerik Report Server
Data dodania do KEVi: 13 czerwca 2024
Termin remediation (USA)i: 4 lipca 2024(po terminie)

🔧Advisory Progress↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Serwer Progress Telerik Report Server zawiera lukę w autoryzacji wynikającą z możliwości podszywania się, która pozwala atakującemu uzyskać nieautoryzowany dostęp.

tłumaczenie AI