CVE-2025-10226

RCE i privilege escalation w AxxonSoft Axxon One przez podatny komponent PostgreSQL

CVSS 9.3v4.0pub. 2025-09-10upd. 2025-12-19

AxxonSoft Axxon One w wersji 2.0.8 i wcześniejszych korzysta z podatnej wersji PostgreSQL v10.x, zawierającej wiele znanych luk bezpieczeństwa. Zdalny atakujący bez uwierzytelnienia może wykonać dowolny kod, eskalować uprawnienia lub wywołać odmowę usługi (DoS).

▸ Pokaż oryginał (EN)

Dependency on Vulnerable Third-Party Component (CWE-1395) in the PostgreSQL backend in AxxonSoft Axxon One (C-Werk) 2.0.8 and earlier on Windows and Linux allows a remote attacker to escalate privileges, execute arbitrary code, or cause denial-of-service via exploitation of multiple known CVEs present in PostgreSQL v10.x, which are resolved in PostgreSQL 17.4.

🤖 Analiza AI

Jak działa

Problem wynika z zależności oprogramowania Axxon One od przestarzałego komponentu PostgreSQL w gałęzi v10.x (CWE-1395 — Dependency on Vulnerable Third-Party Component). W tej wersji PostgreSQL obecnych jest wiele znanych podatności, które zostały naprawione dopiero w wersji PostgreSQL 17.4. Backend bazy danych jest dostępny sieciowo, co umożliwia zdalnemu atakującemu bezpośrednie wykorzystanie tych luk bez konieczności posiadania uprawnień ani interakcji po stronie użytkownika.

Skutki

Atakujący może uzyskać eskalację uprawnień (privilege escalation), wykonać dowolny kod (RCE) na systemie docelowym lub spowodować odmowę usługi (DoS). Podatność dotyczy zarówno poufności, integralności, jak i dostępności systemu.

Mitygacja

Należy zaktualizować AxxonSoft Axxon One do wersji zawierającej PostgreSQL 17.4 lub nowszy. Szczegółowe informacje o dostępnych patchach należy sprawdzić w referencjach producenta pod adresem: https://www.axxonsoft.com/legal/axxonsoft-vulnerability-disclosure-policy/security-advisories. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do portu PostgreSQL wyłącznie do zaufanych hostów za pomocą firewall.

Kogo dotyczy

AxxonSoft Axxon One (C-Werk) w wersji 2.0.8 i wcześniejszych, działający na systemach Windows oraz Linux z wbudowanym backendem PostgreSQL v10.x.

Uwagi

Podatność wynika z używania komponentu PostgreSQL v10.x, który osiągnął koniec wsparcia (End of Life). Luki zawarte w tej gałęzi są rozwiązane dopiero w PostgreSQL 17.4 — szczegółowy wykaz poprawionych CVE dostępny jest w dokumentacji wydań PostgreSQL: https://www.postgresql.org/docs/release

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X