Критична вразливість ін’єкції команд ОС у alseambusher/crontab-ui до версії 0.4.2

Що відомо

В alseambusher/crontab-ui виявлено критичну вразливість ін’єкції команд ОС, що дозволяє неавторизованому віддаленому зловмиснику виконувати довільні системні команди через імпорт спеціально створеного файлу бази даних crontab. Уразливість виникає через відсутність перевірки файлів, що імпортуються через POST /import.

Бізнес-вплив

Ця вразливість може призвести до повного контролю над системою, на якій працює crontab-ui, що ставить під загрозу цілісність і доступність інфраструктури. ІТ-оператори повинні розглянути можливість несанкціонованого доступу та виконання шкідливих команд, що може спричинити серйозні порушення в роботі сервісів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень від розробника alseambusher/crontab-ui і застосувати їх. Тимчасово обмежте доступ до кінцевої точки POST /import, особливо з незнайомих або публічних мереж. Проведіть аудит логів на предмет підозрілої активності, пов’язаної з імпортом бази даних. Для додаткової безпеки зменшіть мережеву експозицію сервісу та перевірте резервні копії. DataHouse підтримує перевірку версій і допомогу в управлінні патчами для зниження ризиків.

Джерела

• NVD
• Reference
• Reference