Luka w Ajax.NET Professional umożliwiająca zdalne wykonanie kodu przez deserializację niezaufanych danych

Co wiadomo

Wszystkie wersje pakietu ajaxpro.2 są podatne na deserializację niezaufanych danych, co pozwala na deserializację dowolnych klas .NET. Ta luka może zostać wykorzystana do zdalnego wykonania kodu na atakowanym systemie.

Wpływ biznesowy

Podatność o wysokim poziomie zagrożenia (CVSS 8.1) stwarza ryzyko przejęcia kontroli nad aplikacją lub serwerem, na którym działa Ajax.NET Professional. Może to prowadzić do poważnych naruszeń bezpieczeństwa, w tym kradzieży danych lub zakłócenia działania usług. Operatorzy powinni traktować tę lukę priorytetowo, zwłaszcza w środowiskach narażonych na dostęp z sieci publicznej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji lub poprawek od dostawcy Ajax.NET Professional. W międzyczasie ogranicz ekspozycję usługi, monitoruj logi pod kątem podejrzanej aktywności oraz przeprowadź przegląd konfiguracji zabezpieczeń. Warto również zweryfikować wsparcie DataHouse w zakresie zarządzania poprawkami i ograniczania ekspozycji sieciowej, aby zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• CISA KEV
• Reference
• Reference
• Reference
• Reference
• Reference