CVE-2024-48202

Nieograniczony upload plików w Thecosy IceCMS — RCE przez FileUtils.java

CVSS 9.8v3.1pub. 2024-10-30upd. 2025-04-18

IceCMS w wersjach do 3.4.7 włącznie zawiera podatność typu unrestricted file upload w komponencie FileUtils.java (metoda uploadFile). Umożliwia ona nieuwierzytelnionemu atakującemu zdalne przejęcie kontroli nad serwerem.

▸ Pokaż oryginał (EN)

icecms <=3.4.7 has a File Upload vulnerability in FileUtils.java,uploadFile.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-434 (Unrestricted Upload of File with Dangerous Type) polega na braku odpowiedniej walidacji typu i zawartości przesyłanego pliku w metodzie uploadFile klasy FileUtils.java. Atakujący może przesłać plik wykonywalny (np. webshell) bez konieczności uwierzytelnienia. Po załadowaniu złośliwego pliku na serwer możliwe jest jego uruchomienie i wykonanie dowolnych poleceń w kontekście aplikacji.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem — odczytywać, modyfikować i usuwać dane, a także wykonywać dowolne polecenia systemowe (RCE). Ze względu na brak wymogu uwierzytelnienia podatność jest szczególnie niebezpieczna w środowiskach wystawionych na internet.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do funkcji upload plików na poziomie firewall lub reverse proxy oraz monitorowanie katalogu uploadu pod kątem podejrzanych plików wykonywalnych.

Kogo dotyczy

Thecosy IceCMS w wersjach 3.4.7 i wcześniejszych

Uwagi

Szczegóły techniczne podatności zostały opublikowane w repozytorium GitHub badacza Lunax0 (plik CVE-2024-48202.md). Publiczna dokumentacja exploitu zwiększa ryzyko wykorzystania podatności.