Podatność w aplikacji RuoYi v.4.8.0 umożliwia zdalnemu atakującemu eskalację uprawnień za pośrednictwem parametru jobLogId. Krytyczny poziom CVSS 9.8 oznacza możliwość pełnego przejęcia kontroli nad systemem bez konieczności uwierzytelnienia.
▸ Pokaż oryginał (EN)
An issue in RUoYi v.4.8.0 allows a remote attacker to escalate privileges via the jobLogId parameter
Atakujący bez żadnych uprawnień i bez interakcji ze strony użytkownika może manipulować parametrem jobLogId w żądaniach HTTP kierowanych do podatnego endpointu aplikacji RuoYi. Nieprawidłowa kontrola dostępu (CWE-284) powoduje, że serwer nie weryfikuje właściwie uprawnień wywołującego, co prowadzi do privilege escalation. Atak jest możliwy zdalnie przez sieć, bez konieczności posiadania konta w systemie.
Atakujący może uzyskać podwyższone uprawnienia w aplikacji, co skutkuje pełną utratą poufności, integralności i dostępności systemu — włącznie z możliwością odczytu i modyfikacji danych oraz zakłócenia działania usługi.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się weryfikację oficjalnego repozytorium RuoYi (https://github.com/yangzongzhuan/RuoYi) w celu uzyskania aktualnej wersji zawierającej poprawkę oraz ograniczenie dostępu do podatnych endpointów na poziomie firewall lub reverse proxy do czasu wdrożenia łatki.
RuoYi v.4.8.0
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HRuoyi
APPRuoyi4.8.0
Powiązane podatności
RuoYi v4.8.2 — nieprawidłowa kontrola dostępu w funkcji aktualizacji
SQL Injection (RCE) w RuoYi v.4.7.9 i wcześniejszych — funkcja createTable
RuoYi 4.8.0 – privilege escalation przez metodę changeStatus
Eskalacja uprawnień przez parametr jobId w RuoYi v.4.8.0
RuoYi 4.8.0 — privilege escalation przez brak walidacji parametru deptId