Produkt ActADUR lokalnego serwera firmy ProTNS zawiera zestaw krytycznych podatności umożliwiających zdalne wykonanie kodu (Remote Code Inclusion) na systemie hosta. Podatności obejmują m.in. command injection, użycie zakodowanych na stałe danych uwierzytelniających oraz nieprawidłową autentykację, co czyni je szczególnie niebezpiecznymi.
▸ Pokaż oryginał (EN)
Vulnerabilities* in ActADUR local server product, developed and maintained by ProTNS, allows Remote Code Inclusion on host systems. * vulnerabilities: * Improper Neutralization of Special Elements used in a Command ('Command Injection') * Use of Hard-coded Credentials * Improper Authentication * Binding to an Unrestricted IP Address The vulnerability has been rated as critical.This issue affects ActADUR: from v2.0.1.9 before v2.0.2.0., hence updating to version v2.0.2.0. or above is required.
Atakujący posiadający dostęp do sieci lokalnej może wykorzystać brak odpowiedniej neutralizacji znaków specjalnych w poleceniach (command injection) w celu wykonania dowolnego kodu na serwerze. Dodatkowo produkt stosuje zakodowane na stałe dane uwierzytelniające (hard-coded credentials) oraz posiada wadliwy mechanizm autentykacji, co umożliwia obejście kontroli dostępu. Serwer nasłuchuje na nieograniczonym adresie IP (Binding to an Unrestricted IP Address), co powiększa powierzchnię ataku — usługa jest dostępna na wszystkich interfejsach sieciowych hosta.
Atakujący z dostępem do sieci lokalnej może bez uwierzytelnienia przejąć kontrolę nad hostem poprzez zdalne wykonanie kodu, a także uzyskać wysoki poziom dostępu do zasobów systemu i powiązanych systemów (wysokie wartości VC, VI, SC, SI w CVSS).
Należy zaktualizować ActADUR do wersji v2.0.2.0 lub nowszej. Szczegółowe informacje dostępne są w poradniku producenta pod adresem https://www.protns.com/53. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do serwera ActADUR wyłącznie do zaufanych segmentów sieci.
ActADUR w wersjach od v2.0.1.9 (włącznie) do v2.0.2.0 (wyłącznie), produkt firmy ProTNS.
Podatność dotyczy wyłącznie atakujących z dostępem do sieci lokalnej (wektor AV:A — Adjacent Network), co nieco ogranicza zasięg, jednak nie zmniejsza krytyczności samych podatności. Łącznie zgłoszono cztery odrębne klasy podatności: CWE-77, CWE-287, CWE-798, CWE-1327.
CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X