Krytyczna luka RCE w UpSnap przed wersją 5.4.0

Co wiadomo

Aplikacja webowa UpSnap do Wake on LAN ma krytyczną lukę OS command injection w funkcji zarządzania urządzeniami. Użytkownicy z niskimi uprawnieniami mogą wykonać zdalnie dowolne polecenia systemowe na serwerze, co zostało załatane w wersji 5.4.0.

Wpływ biznesowy

Luka umożliwia zdalne wykonanie kodu przez użytkowników z uprawnieniami do tworzenia lub edycji urządzeń, co może prowadzić do przejęcia kontroli nad serwerem hostującym aplikację UpSnap. Może to skutkować poważnymi naruszeniami bezpieczeństwa, utratą danych oraz zakłóceniem działania usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie UpSnap do wersji 5.4.0 lub nowszej, aby wyeliminować lukę. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji zarządzania urządzeniami tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Warto również zweryfikować konfigurację sieciową, aby ograniczyć ekspozycję aplikacji. DataHouse wspiera w weryfikacji wersji oprogramowania oraz w monitoringu bezpieczeństwa infrastruktury.

Źródła

• NVD
• Reference
• Reference