CVE-2024-6794

RCE przez deserializację danych w NI VeriStand Waveform Streaming Server

CVSS 9.8v3.1pub. 2024-07-22upd. 2024-11-21

W komponencie Waveform Streaming Server produktu NI VeriStand wykryto krytyczną podatność polegającą na deserializacji niezaufanych danych (CWE-502), umożliwiającą zdalne wykonanie kodu (RCE). Zagrożenie jest szczególnie poważne, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A deserialization of untrusted data vulnerability exists in NI VeriStand Waveform Streaming Server that may result in remote code execution. Successful exploitation requires an attacker to send a specially crafted message. These vulnerabilities affect NI VeriStand 2024 Q2 and prior versions.

🤖 Analiza AI

Jak działa

Atakujący wysyła do serwera Waveform Streaming Server specjalnie spreparowaną wiadomość sieciową zawierającą złośliwy payload. Serwer deserializuje odebrane dane bez odpowiedniej walidacji ich pochodzenia ani zawartości. W wyniku tego procesu możliwe jest wykonanie dowolnego kodu w kontekście działającego serwera. Podatność jest dostępna zdalnie przez sieć bez konieczności posiadania jakichkolwiek poświadczeń.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) na systemie docelowym, co może prowadzić do pełnego przejęcia kontroli nad maszyną, ujawnienia poufnych danych oraz naruszenia integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.ni.com/en/support/security/available-critical-and-security-updates-for-ni-software/deserialization-of-untrusted-data-vulnerabilities-in-ni-veristand.html