CVE-2024-46506

NetAlertX — nieuwierzytelniony command injection via savesettings (RCE)

CVSS 10.0v3.1pub. 2025-05-13upd. 2025-06-17

NetAlertX w wersjach od 23.01.14 do 24.x przed 24.10.12 pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie poleceń systemowych (RCE) poprzez endpoint aktualizacji ustawień. Podatność uzyskała maksymalny wynik CVSS 10.0 i była aktywnie wykorzystywana w maju 2025 roku.

▸ Pokaż oryginał (EN)

NetAlertX 23.01.14 through 24.x before 24.10.12 allows unauthenticated command injection via settings update because function=savesettings lacks an authentication requirement, as exploited in the wild in May 2025. This is related to settings.php and util.php.

🤖 Analiza AI

Jak działa

Funkcja `function=savesettings` obsługiwana przez pliki `settings.php` i `util.php` nie wymaga żadnego uwierzytelnienia. Atakujący może wysłać spreparowane żądanie HTTP do tego endpointu, wstrzykując złośliwe polecenia systemowe w parametrach ustawień. Brak mechanizmu kontroli dostępu (CWE-306 — Missing Authentication for Critical Function) sprawia, że exploit jest trywialny i możliwy do przeprowadzenia bez żadnych poświadczeń.

Skutki

Atakujący uzyskuje możliwość zdalnego wykonania dowolnych poleceń systemowych na serwerze z uprawnieniami procesu NetAlertX, co może prowadzić do pełnego przejęcia kontroli nad systemem, wycieku danych oraz naruszenia poufności, integralności i dostępności.

Mitygacja

Należy niezwłocznie zaktualizować NetAlertX do wersji 24.10.12 lub nowszej. Do czasu zastosowania patcha zaleca się ograniczenie dostępu sieciowego do interfejsu administracyjnego NetAlertX wyłącznie do zaufanych adresów IP (np. poprzez firewall lub reguły sieciowe).

Kogo dotyczy

NetAlertX w wersjach od 23.01.14 do 24.x przed 24.10.12

Uwagi

Podatność była aktywnie eksploatowana w środowisku produkcyjnym w maju 2025 roku, co zostało wprost wskazane w opisie CVE. Szczegółowy opis techniczny wraz z analizą exploita opublikowało Rhino Security Labs pod adresem rhinosecuritylabs.com/research/cve-2024-46506-rce-in-netalertx/.