CVE-2024-8015

RCE w Progress Telerik Report Server przez insecure type resolution

CVSS 9.1v3.1pub. 2024-10-09upd. 2024-10-15

Podatność w Progress Telerik Report Server umożliwia zdalne wykonanie kodu (RCE) poprzez wstrzykiwanie obiektów wynikające z niebezpiecznego rozwiązywania typów. Zagrożenie jest krytyczne, ponieważ atakujący może przejąć pełną kontrolę nad serwerem bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

In Progress Telerik Report Server versions prior to 2024 Q3 (10.2.24.924), a remote code execution attack is possible through object injection via an insecure type resolution vulnerability.

🤖 Analiza AI

Jak działa

Podatność (CWE-470 — Use of Externally-Controlled Input to Select Classes or Code) polega na tym, że aplikacja nieprawidłowo rozwiązuje typy obiektów na podstawie danych wejściowych kontrolowanych przez atakującego. Poprzez przesłanie spreparowanego payloadu dochodzi do wstrzykiwania obiektów (object injection), co prowadzi do deserializacji niebezpiecznych typów. W konsekwencji atakujący jest w stanie doprowadzić do wykonania dowolnego kodu po stronie serwera.

Skutki

Atakujący z uprawnieniami wysokiego poziomu (PR:H) może zdalnie wykonać dowolny kod na serwerze, uzyskując pełny dostęp do poufnych danych, możliwość modyfikacji systemu oraz zakłócenia jego działania, a zasięg ataku wykracza poza granice aplikacji (S:C).

Mitygacja

Należy niezwłocznie zaktualizować Progress Telerik Report Server do wersji 2024 Q3 (10.2.24.924) lub nowszej. Szczegółowe informacje dostępne są w oficjalnej dokumentacji producenta: https://docs.telerik.com/report-server/knowledge-base/insecure-type-resolution-cve-2024-8015