Критична вразливість ін’єкції команд ОС у alseambusher/crontab-ui до версії 0.4.2

Що відомо

В alseambusher/crontab-ui до версії 0.4.2 виявлено критичну вразливість ін’єкції команд операційної системи. Незареєстрований віддалений зловмисник може додати довільні завдання cron, надіславши спеціально сформований GET-запит із параметром env_vars, що містить URL-кодовані символи нового рядка.

Бізнес-вплив

Ця вразливість дозволяє зловмиснику виконувати довільні команди на сервері без автентифікації, що може призвести до повного контролю над системою, втрати даних або порушення роботи сервісу. Власники інфраструктури повинні розглянути ризики несанкціонованого доступу та потенційних атак, що можуть вплинути на безпеку та стабільність бізнес-процесів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень від розробника alseambusher/crontab-ui і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до сервісу, особливо до кінцевої точки /crontab, переглянути журнали на предмет підозрілої активності та мінімізувати мережеву експозицію. Для додаткової підтримки рекомендується звернутися до DataHouse для перевірки версій, управління патчами та аналізу логів.

Джерела

• NVD
• Reference
• Reference