CVE-2025-27224

Path Traversal w Rocket TRUfusion Enterprise – zapis dowolnych plików i RCE

CVSS 9.8v3.1pub. 2025-10-27upd. 2025-10-31

TRUfusion Enterprise do wersji 7.10.4.0 zawiera krytyczną podatność path traversal w endpoincie uploadu plików, umożliwiającą nieuwierzytelnionemu atakującemu zapis dowolnych plików w dowolnym miejscu na serwerze. Konsekwencją jest możliwość wykonania arbitralnego kodu (RCE) na poziomie serwera.

▸ Pokaż oryginał (EN)

TRUfusion Enterprise through 7.10.4.0 uses the /trufusionPortal/fileupload endpoint to upload files. However, the application doesn't properly sanitize the input to this endpoint, ultimately allowing path traversal sequences to be included. This can be used to write to any filename with any file type at any location on the local server, ultimately allowing execution of arbitrary code.

🤖 Analiza AI

Jak działa

Endpoint /trufusionPortal/fileupload nie przeprowadza właściwej walidacji i sanityzacji danych wejściowych (CWE-20). Atakujący może umieścić w nazwie lub ścieżce przesyłanego pliku sekwencje path traversal (np. '../'), co pozwala na zapisanie pliku poza przeznaczonym katalogiem. Dzięki temu możliwe jest umieszczenie pliku wykonywalnego (np. webshella) w dowolnej lokalizacji na serwerze. Atak nie wymaga żadnego uwierzytelnienia, co drastycznie zwiększa powierzchnię ataku.

Skutki

Atakujący może zapisać plik dowolnego typu w dowolnym miejscu na lokalnym serwerze, co w praktyce prowadzi do pełnego przejęcia kontroli nad systemem poprzez wykonanie arbitralnego kodu (RCE). Zagrożona jest poufność, integralność oraz dostępność danych i usług.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako tymczasowe środki zaradcze zaleca się ograniczenie dostępu sieciowego do endpointu /trufusionPortal/fileupload na poziomie firewall oraz izolację serwera od publicznej sieci do czasu zastosowania poprawki.

Kogo dotyczy

Rocket TRUfusion Enterprise w wersjach do 7.10.4.0 włącznie.

Uwagi

Podatność została opisana w ramach badań bezpieczeństwa opublikowanych na blogu rcesecurity.com oraz w repozytorium advisories autora MrTuxracer, gdzie wskazano ją jako jedną z czterech krytycznych podatności niewymagających uwierzytelnienia (pre-auth) w TRUfusion Enterprise.