CVE-2024-33879

Path traversal w Virto Bulk File Download dla SharePoint — pobieranie i usuwanie plików

CVSS 9.8v3.1pub. 2024-06-24upd. 2024-11-21

Podatność typu path traversal w aplikacji VirtoSoftware Virto Bulk File Download 5.5.44 dla SharePoint 2019 umożliwia nieuwierzytelnionemu atakującemu pobieranie oraz usuwanie dowolnych plików na serwerze. Krytyczny poziom CVSS 9.8 wynika z braku wymagania uwierzytelnienia i pełnego wpływu na poufność, integralność oraz dostępność danych.

▸ Pokaż oryginał (EN)

An issue was discovered in VirtoSoftware Virto Bulk File Download 5.5.44 for SharePoint 2019. The Virto.SharePoint.FileDownloader/Api/Download.ashx isCompleted method allows arbitrary file download and deletion via absolute path traversal in the path parameter.

🤖 Analiza AI

Jak działa

Podatność występuje w metodzie isCompleted obsługiwanej przez endpoint Virto.SharePoint.FileDownloader/Api/Download.ashx. Atakujący może przekazać w parametrze path absolutną ścieżkę do dowolnego pliku na serwerze, omijając w ten sposób mechanizmy ograniczające dostęp do wskazanego katalogu. Brak odpowiedniej walidacji i sanityzacji parametru path pozwala na odczytanie lub usunięcie plików spoza przewidzianego zakresu aplikacji.

Skutki

Atakujący bez jakiegokolwiek uwierzytelnienia może pobrać dowolny plik dostępny na serwerze (w tym pliki konfiguracyjne, dane użytkowników, sekrety aplikacji) lub trwale go usunąć, co może prowadzić do wycieku poufnych danych oraz zakłócenia działania systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się sprawdzenie dokumentacji VirtoSoftware (docs.virtosoftware.com) pod kątem zaktualizowanej wersji oprogramowania oraz wdrożenia zaleceń bezpieczeństwa producenta. Do czasu aktualizacji warto rozważyć ograniczenie dostępu sieciowego do endpointu Download.ashx na poziomie firewall lub reverse proxy.

Kogo dotyczy

VirtoSoftware Virto Bulk File Download w wersji 5.5.44 działający na Microsoft SharePoint Server 2019

Uwagi

Producent opublikował dedykowany dokument ujawnienia podatności (disclosure): nu_ncsc_virto_one_bulk_file_download_v5.4.4_pt_disclosure.pdf, co wskazuje na skoordynowane ujawnienie we współpracy z zewnętrznym podmiotem (prawdopodobnie NCSC).