CVE-2024-1800

RCE przez insecure deserialization w Progress Telerik Report Server

CVSS 9.9v3.1pub. 2024-03-20upd. 2025-01-16

W wersjach Progress Telerik Report Server wcześniejszych niż 2024 Q1 (10.0.24.130) istnieje krytyczna podatność insecure deserialization umożliwiająca zdalne wykonanie kodu. Wysoki wynik CVSS 9.9 oraz brak wymagań dotyczących interakcji użytkownika czynią tę podatność szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

In Progress® Telerik® Report Server versions prior to 2024 Q1 (10.0.24.130), a remote code execution attack is possible through an insecure deserialization vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z niebezpiecznego deserializowania danych dostarczanych przez użytkownika (CWE-502). Atakujący posiadający konto w aplikacji może przesłać spreparowany payload, który podczas procesu deserializacji po stronie serwera prowadzi do wykonania dowolnego kodu. Wektor sieciowy (AV:N) oraz niskie wymagania dotyczące uprawnień (PR:L) oznaczają, że exploit może zostać przeprowadzony zdalnie przez uwierzytelnionego użytkownika bez żadnej interakcji po stronie ofiary. Zakres ataku wykracza poza sam komponent (S:C), co sugeruje możliwość wpływu na inne zasoby systemu.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) na serwerze, co może prowadzić do pełnego przejęcia kontroli nad systemem, wycieku poufnych danych oraz naruszenia integralności i dostępności usługi.

Mitygacja

Należy niezwłocznie zaktualizować Progress Telerik Report Server do wersji 2024 Q1 (10.0.24.130) lub nowszej. Szczegółowe informacje producenta dostępne są pod adresem: https://docs.telerik.com/report-server/knowledge-base/deserialization-vulnerability-cve-2024-1800