CVE-2024-6793

RCE przez niebezpieczną deserializację w NI VeriStand DataLogging Server

CVSS 9.8v3.1pub. 2024-07-22upd. 2024-11-21

W komponencie DataLogging Server oprogramowania NI VeriStand wykryto krytyczną podatność związaną z deserializacją niezaufanych danych. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na podatnym systemie.

▸ Pokaż oryginał (EN)

A deserialization of untrusted data vulnerability exists in NI VeriStand DataLogging Server that may result in remote code execution. Successful exploitation requires an attacker to send a specially crafted message. These vulnerabilities affect NI VeriStand 2024 Q2 and prior versions.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi deserializacji danych przychodzących przez komponent DataLogging Server w NI VeriStand. Atakujący może wysłać specjalnie spreparowaną wiadomość sieciową do podatnego serwera, co prowadzi do deserializacji złośliwych danych i w konsekwencji do wykonania arbitrary code. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika, a niski próg złożoności czyni go szczególnie niebezpiecznym.

Skutki

Skuteczna eksploatacja pozwala atakującemu na zdalne wykonanie kodu (RCE) z uprawnieniami procesu DataLogging Server, co może prowadzić do pełnego przejęcia kontroli nad systemem, utraty poufności i integralności danych oraz zakłócenia dostępności usług.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacje opisano na stronie NI pod adresem: https://www.ni.com/en/support/security/available-critical-and-security-updates-for-ni-software/deserialization-of-untrusted-data-vulnerabilities-in-ni-veristand.html. Do czasu zastosowania poprawek zaleca się ograniczenie dostępu sieciowego do komponentu DataLogging Server za pomocą firewall lub segmentacji sieci.