CVE-2026-59688

Command Injection w Progress LoadMaster i MOVEit WAF — funkcja przywracania kopii zapasowej

CVSS 8.4v3.1pub. 2026-07-27upd. 2026-08-11

Podatność typu OS command injection w produktach Progress Software (LoadMaster, ECS Connection Manager, Object Scale Connection Manager, MOVEit WAF) umożliwia uwierzytelnionemu atakującemu z wysokimi uprawnieniami wykonanie dowolnych poleceń systemowych. W efekcie możliwe jest całkowite przejęcie kontroli nad zaatakowanym urządzeniem.

▸ Pokaż oryginał (EN)

An OS Command Injection vulnerability in Progress Software LoadMaster, ECS Connection Manager, Object Scale Connection Manager, and MOVEit WAF allows an authenticated attacker with high privileges to execute arbitrary operating system commands on the affected appliance via the backup restore functionality, potentially resulting in complete system compromise.

🤖 Analiza AI

Jak działa

Luka znajduje się w mechanizmie przywracania kopii zapasowej (backup restore functionality). Atakujący posiadający konto z wysokimi uprawnieniami może przekazać do tej funkcji złośliwie spreparowane dane wejściowe, które nie są odpowiednio sanityzowane przed przekazaniem do powłoki systemowej. Pozwala to na wstrzyknięcie i wykonanie dowolnych poleceń systemu operacyjnego w kontekście aplikacji działającej na urządzeniu (CWE-78).

Skutki

Atakujący może uzyskać pełną kontrolę nad zaatakowanym urządzeniem, w tym odczyt i modyfikację danych, instalację złośliwego oprogramowania oraz lateral movement w sieci wewnętrznej. Opis wskazuje na możliwość całkowitego skompromitowania systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w biuletynie bezpieczeństwa Progress Software (lipiec 2026): https://community.progress.com/s/article/LoadMaster-Critical-Security-Bulletin-July-2026-CVE-2026-59686-CVE-2026-59687-CVE-2026-59688-CVE-2026-59689-CVE-2026-59690

Kogo dotyczy

Progress Software LoadMaster, ECS Connection Manager, Object Scale Connection Manager oraz MOVEit WAF — dokładne wersje wskazane w referencjach producenta

Uwagi

Podatność wymaga uwierzytelnienia z wysokimi uprawnieniami (PR:H) oraz dostępu z sieci lokalnej (AV:A), co ogranicza powierzchnię ataku w porównaniu do podatności zdalnych bez uwierzytelnienia. Wchodząca w zakres biuletynu seria CVE obejmuje łącznie pięć identyfikatorów (CVE-2026-59686 do CVE-2026-59690) dotyczących produktów Progress Software.