BDU:2023-07600

Опубликовано: 10 нояб. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость метода doPost класса com.ilient.server.UserEntry программного обеспечения автоматизации службы поддержки и контроля аппаратного и программного обеспечения SysAid связана с возможностью обхода пути. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путём загрузки специально сформированных WAR-файлов

Вендор

SysAid

Наименование ПО

SysAid

Версия ПО

до 23.3.36 (SysAid)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование систем обнаружения и предотвращения вторжений для отслеживания индикаторов компрометации, указывающих на эксплуатацию уязвимости;

- использование средств межсетевого экранирования уровня веб-приложений;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://documentation.sysaid.com/docs/latest-version-installation-files

https://documentation.sysaid.com/docs/on-premise-security-enhancements-2023

https://www.sysaid.com/blog/service-desk/on-premise-software-security-vulnerability-notification

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-47246
CVE

EPSS

Процентиль: 100%

0.94345

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-47246

CVSS3: 9.8

nvd

около 2 лет назад

In SysAid On-Premise before 23.3.36, a path traversal vulnerability leads to code execution after an attacker writes a file to the Tomcat webroot, as exploited in the wild in November 2023.

GHSA-w3gp-79x2-f8rp

CVSS3: 9.8

github

около 2 лет назад

In SysAid On-Premise before 23.3.36, a path traversal vulnerability leads to code execution after an attacker writes a file to the Tomcat webroot, as exploited in the wild in November 2023.

EPSS

Процентиль: 100%

0.94345

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2