Krytyczna luka RCE w ChurchCRM przed wersją 7.2.0 przez niekontrolowane przywracanie kopii zapasowej

Co wiadomo

W ChurchCRM przed wersją 7.2.0 funkcja przywracania kopii zapasowej pozwalała administratorowi na przesłanie archiwum zawierającego złośliwy plik PHP w katalogu Images/. Plik ten był zapisywany w katalogu dostępnym przez WWW i mógł być wykonany zdalnie, co umożliwiało zdalne wykonanie kodu (RCE). Dodatkowo brakowało ochrony przed CSRF, co ułatwiało ataki wymuszone na zalogowanych administratorach.

Wpływ biznesowy

Luka umożliwia zdalne wykonanie kodu na serwerze aplikacji przez uwierzytelnionego administratora, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub dalszej eskalacji ataku. Brak weryfikacji tokenów CSRF zwiększa ryzyko ataków wymuszonych, nawet bez bezpośredniego działania administratora. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo ją zaadresować.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie ChurchCRM do wersji 7.2.0 lub nowszej, w której luka została załatana. W międzyczasie należy ograniczyć dostęp do funkcji przywracania kopii zapasowej, monitorować logi serwera pod kątem podejrzanych żądań oraz stosować dodatkowe zabezpieczenia, takie jak weryfikacja tokenów CSRF i kontrola przesyłanych plików.

Źródła

• NVD
• Reference
• Reference
• Reference