Krytyczna luka RCE w Arelle przed wersją 2.39.10

Co wiadomo

W Arelle przed wersją 2.39.10 wykryto krytyczną lukę umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia poprzez endpoint /rest/configure. Luka pozwala atakującemu na dostarczenie złośliwego pliku Python, który zostanie pobrany i wykonany z uprawnieniami serwera Arelle.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.2) umożliwia atakującemu przejęcie kontroli nad procesem Arelle, co może prowadzić do pełnego kompromisu systemu. Operatorzy infrastruktury powinni traktować tę podatność jako krytyczną, zwłaszcza w środowiskach eksponowanych na internet.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie Arelle do wersji 2.39.10 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć dostęp do endpointu /rest/configure, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień i ekspozycji serwera.

Źródła

• NVD
• Reference
• Reference
• Reference