CVE-2025-26342

Q-Free MaxTime: tworzenie kont bez uwierzytelnienia (w tym kont admina)

CVSS 9.8v3.1pub. 2025-02-12upd. 2025-10-24

Podatność CWE-306 w systemie Q-Free MaxTime (wersje do 2.11.0 włącznie) umożliwia nieuwierzytelnionemu atakującemu zdalnie tworzyć dowolne konta użytkowników, w tym konta administratorów. Zagrożenie jest krytyczne, ponieważ nie wymaga żadnych uprawnień ani interakcji po stronie ofiary.

▸ Pokaż oryginał (EN)

A CWE-306 "Missing Authentication for Critical Function" in maxprofile/accounts/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an unauthenticated remote attacker to create arbitrary users, including administrators, via crafted HTTP requests.

🤖 Analiza AI

Jak działa

W pliku maxprofile/accounts/routes.lua brakuje mechanizmu uwierzytelnienia dla krytycznej funkcji zarządzania kontami. Atakujący może wysyłać odpowiednio spreparowane żądania HTTP bezpośrednio do podatnego endpointu, bez potrzeby posiadania jakichkolwiek danych uwierzytelniających. W ten sposób możliwe jest zarejestrowanie nowego użytkownika z dowolnym poziomem uprawnień, łącznie z pełnymi uprawnieniami administracyjnymi.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem Q-Free MaxTime poprzez utworzenie własnego konta administratora, co prowadzi do całkowitego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest pilne zaktualizowanie systemu Q-Free MaxTime do wersji wyższej niż 2.11.0 oraz ograniczenie dostępu sieciowego do interfejsu zarządzania za pomocą firewall do czasu wdrożenia poprawki.

Kogo dotyczy

Q-Free MaxTime w wersji 2.11.0 i wcześniejszych

Uwagi

Podatność została opisana w poradniku bezpieczeństwa Nozomi Networks Labs (nozominetworks.com). Wektor ataku sieciowy, brak wymaganych uprawnień i brak konieczności interakcji użytkownika (AV:N/AC:L/PR:N/UI:N) czynią tę lukę szczególnie niebezpieczną w środowiskach wystawionych na dostęp z sieci publicznej.