CVE-2024-39914

Command injection w FOGProject przez parametr filename w export.php

CVSS 9.8v3.1pub. 2024-07-12upd. 2025-09-29

FOGProject w wersjach przed 1.5.10.34 zawiera podatność command injection w module eksportu raportów. Atakujący zdalny, nieuwierzytelniony może wykonać dowolne polecenia systemowe na serwerze.

▸ Pokaż oryginał (EN)

FOG is a cloning/imaging/rescue suite/inventory management system. Prior to 1.5.10.34, packages/web/lib/fog/reportmaker.class.php in FOG was affected by a command injection via the filename parameter to /fog/management/export.php. This vulnerability is fixed in 1.5.10.34.

🤖 Analiza AI

Jak działa

Podatność znajduje się w pliku packages/web/lib/fog/reportmaker.class.php i jest wyzwalana poprzez parametr filename przekazywany do endpointu /fog/management/export.php. Brak odpowiedniej walidacji i sanityzacji tego parametru pozwala na wstrzyknięcie dowolnych poleceń systemowych (command injection, CWE-77), które są następnie wykonywane przez serwer z uprawnieniami procesu webowego.

Skutki

Atakujący może przejąć pełną kontrolę nad serwerem — uzyskać dostęp do poufnych danych, modyfikować dane systemowe lub doprowadzić do niedostępności usługi (pełna triada CIA: poufność, integralność, dostępność na poziomie HIGH zgodnie z CVSS).

Mitygacja

Należy niezwłocznie zaktualizować FOGProject do wersji 1.5.10.34 lub nowszej, w której podatność została naprawiona. Patch dostępny jest w repozytorium GitHub projektu (commit 2413bc034753c32799785e9bf08164ccd0a2759f).

Kogo dotyczy

FOGProject w wersjach wcześniejszych niż 1.5.10.34

Uwagi

Podatność została ujawniona w ramach GitHub Security Advisory GHSA-7h44-6vq6-cq8j. Wektor ataku sieciowy bez wymagania uwierzytelnienia (AV:N/AC:L/PR:N/UI:N) sprawia, że podatność jest szczególnie niebezpieczna w środowiskach, gdzie panel zarządzania FOG jest dostępny z zewnątrz sieci wewnętrznej.