CVE-2023-40498

LG Simple Editor: path traversal w komendzie cp umożliwia RCE jako SYSTEM

CVSS 9.8v3.1pub. 2024-05-03upd. 2025-04-10

Krytyczna podatność w aplikacji LG Simple Editor pozwala zdalnemu atakującemu na wykonanie dowolnego kodu bez uwierzytelnienia. Błąd umożliwia przejęcie kontroli nad systemem z uprawnieniami SYSTEM.

▸ Pokaż oryginał (EN)

LG Simple Editor cp Command Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of LG Simple Editor. Authentication is not required to exploit this vulnerability. The specific flaw exists within the cp command implemented in the makeDetailContent method. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. . Was ZDI-CAN-19925.

🤖 Analiza AI

Jak działa

Podatność tkwi w obsłudze komendy cp w metodzie makeDetailContent. Aplikacja nie waliduje poprawnie ścieżki dostarczonej przez użytkownika przed jej użyciem w operacjach plikowych (path traversal, CWE-22). Atakujący może spreparować żądanie zawierające złośliwą ścieżkę, co prowadzi do zapisu pliku w dowolnej lokalizacji systemu i w konsekwencji do wykonania kodu.

Skutki

Atakujący może wykonać dowolny kod w kontekście konta SYSTEM, uzyskując pełną kontrolę nad zaatakowaną maszyną, w tym dostęp do danych, możliwość instalacji złośliwego oprogramowania oraz dalszy lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.zerodayinitiative.com/advisories/ZDI-23-1204/). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do usługi LG Simple Editor za pomocą firewall oraz monitorowanie ruchu pod kątem nieautoryzowanych żądań.

Kogo dotyczy

LG Simple Editor — wersje wskazane w referencjach producenta (ZDI-CAN-19925)

Uwagi

Podatność została zgłoszona przez Zero Day Initiative jako ZDI-CAN-19925 i opublikowana jako ZDI-23-1204. Exploit nie wymaga uwierzytelnienia ani interakcji użytkownika (AV:N/AC:L/PR:N/UI:N).