CVE-2024-52057

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w zapytaniach SQL w komponencie Queuing Service. Atakujący zdalnie, bez uwierzytelnienia, może wstrzyknąć złośliwe polecenia SQL do zapytań kierowanych do bazy danych. Wymaga to spełnienia pewnych warunków technicznych po stronie środowiska (AT:P w wektorze CVSS), jednak nie wymaga żadnej interakcji ze strony użytkownika.

Skuteczny atak pozwala na nieuprawniony odczyt oraz modyfikację danych przechowywanych w bazie danych systemu RTI Connext Professional. Może to prowadzić do wycieku wrażliwych informacji oraz naruszenia integralności danych przetwarzanych przez system.

Należy zaktualizować RTI Connext Professional do wersji 7.3.0 lub nowszej (dla gałęzi 7.x) albo do wersji 6.1.2.17 lub nowszej (dla gałęzi 6.1.x). Użytkownicy gałęzi 6.0.x oraz 5.2.x powinni skonsultować się z producentem i zastosować patche dostępne zgodnie z referencjami pod adresem https://www.rti.com/vulnerabilities/#cve-2024-52057. Zaleca się ograniczenie sieciowego dostępu do Queuing Service wyłącznie do zaufanych hostów jako środek tymczasowy.

RTI Connext Professional w wersjach: od 7.0.0 przed 7.3.0, od 6.1.0 przed 6.1.2.17, od 6.0.0 przed 6.0.* (wszystkie wersje gałęzi 6.0.x), od 5.2.0 przed 5.3.* (wszystkie wersje gałęzi 5.2.x).