CVE-2024-6633

Domyślne poświadczenia bazy HSQLDB w Fortra FileCatalyst Workflow

CVSS 9.8v3.1pub. 2024-08-27upd. 2025-08-29

Fortra FileCatalyst Workflow zawiera wbudowaną bazę danych HSQLDB z domyślnymi poświadczeniami opublikowanymi w artykule bazy wiedzy producenta. Nieautoryzowany dostęp do bazy przy użyciu tych poświadczeń może skutkować pełnym naruszeniem poufności, integralności i dostępności oprogramowania.

▸ Pokaż oryginał (EN)

The default credentials for the setup HSQL database (HSQLDB) for FileCatalyst Workflow are published in a vendor knowledgebase article. Misuse of these credentials could lead to a compromise of confidentiality, integrity, or availability of the software. The HSQLDB is only included to facilitate installation, has been deprecated, and is not intended for production use per vendor guides. However, users who have not configured FileCatalyst Workflow to use an alternative database per recommendations are vulnerable to attack from any source that can reach the HSQLDB.

🤖 Analiza AI

Jak działa

Baza danych HSQLDB dołączona do FileCatalyst Workflow posiada domyślne dane logowania, które zostały upublicznione w dokumentacji producenta. Każdy atakujący, który ma dostęp sieciowy do portu HSQLDB, może użyć tych znanych poświadczeń do uwierzytelnienia się bez żadnej dodatkowej wiedzy ani narzędzi. Problem dotyczy instalacji, w których administrator nie skonfigurował alternatywnej bazy danych zgodnie z zaleceniami producenta — HSQLDB jest bowiem przeznaczona wyłącznie jako ułatwienie procesu instalacji i nie powinna być używana w środowisku produkcyjnym.

Skutki

Atakujący z dostępem sieciowym do instancji HSQLDB może uzyskać pełną kontrolę nad bazą danych aplikacji, co prowadzi do naruszenia poufności danych, ich modyfikacji lub całkowitego uniemożliwienia działania systemu FileCatalyst Workflow.

Mitygacja

Należy niezwłocznie przeprowadzić migrację z domyślnej bazy HSQLDB na zalecaną przez producenta alternatywną bazę danych. Do czasu migracji należy zablokować dostęp sieciowy do portu HSQLDB za pomocą firewall lub reguł ACL, ograniczając go wyłącznie do zaufanych hostów. Szczegółowe instrukcje dostępne są w poradniku bezpieczeństwa producenta: https://www.fortra.com/security/advisories/product-security/fi-2024-011

Kogo dotyczy

Fortra FileCatalyst Workflow — instalacje korzystające z domyślnej bazy danych HSQLDB, które nie zostały skonfigurowane do używania alternatywnej bazy danych zgodnie z zaleceniami producenta.

Uwagi

Producent wskazuje, że HSQLDB jest oznaczona jako przestarzała (deprecated) i nie jest przeznaczona do użytku produkcyjnego. Domyślne poświadczenia zostały opublikowane przez producenta w artykule bazy wiedzy, co czyni je publicznie dostępnymi dla potencjalnych atakujących.