CRITICAL🇬🇧 English

CVE-2024-8923

Zdalne wykonanie kodu w ServiceNow Now Platform (RCE bez uwierzytelnienia)

CVSS 9.3v4.0pub. 2024-10-29upd. 2024-11-27

Podatność typu code injection (CWE-94) w platformie ServiceNow Now Platform umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu. Krytyczny poziom zagrożenia wynika z braku wymogu uwierzytelnienia oraz pełnego dostępu do środowiska wykonawczego platformy.

Pokaż oryginał (EN)

ServiceNow has addressed an input validation vulnerability that was identified in the Now Platform. This vulnerability could enable an unauthenticated user to remotely execute code within the context of the Now Platform. ServiceNow deployed an update to hosted instances and ServiceNow provided the update to our partners and self-hosted customers. Further, the vulnerability is addressed in the listed patches and hot fixes.

🤖 Analiza AI
Jak działa

Luka polega na nieprawidłowej walidacji danych wejściowych (input validation vulnerability) w platformie Now Platform. Atakujący może przesłać specjalnie spreparowane żądanie sieciowe bez konieczności posiadania konta lub uwierzytelnienia, a platforma nieprawidłowo przetwarza dostarczone dane, co prowadzi do wykonania arbitralnego kodu w kontekście aplikacji. Podatność jest osiągalna zdalnie przez sieć bez żadnych dodatkowych warunków wstępnych.

Skutki

Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod w kontekście platformy ServiceNow Now Platform, co może prowadzić do przejęcia kontroli nad systemem, ujawnienia danych lub ich modyfikacji.

Mitygacja

ServiceNow wdrożył aktualizację na wszystkich hostowanych instancjach automatycznie. Klienci self-hosted oraz partnerzy powinni niezwłocznie zastosować patche i hot fixy wskazane przez producenta w artykule KB1706070 dostępnym w portalu wsparcia ServiceNow.

Kogo dotyczy

ServiceNow Now Platform — instancje hostowane oraz środowiska self-hosted partnerów i klientów, w wersjach wskazanych w referencjach producenta (KB1706070). ServiceNow wdrożył aktualizację na instancjach hostowanych i udostępnił ją partnerom oraz klientom self-hosted.

CVSS Vector
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  • Servicenow

    APP
    Servicenow
    vancouverwashington_dcxanadu
🔵
ZWERYFIKUJ U PRODUCENTA
Brak jednoznacznych danych o patchu. Sprawdź referencje od producenta.
CWE
Referencje

Powiązane podatności

CVE-2024-4879CRITICAL9.3⚠ KEVPL ✓ten sam produkt

ServiceNow Now Platform — zdalny RCE bez uwierzytelnienia (input validation)

CVE-2024-5217CRITICAL9.2⚠ KEVPL ✓ten sam produkt

Krytyczna podatność RCE w ServiceNow Now Platform (input validation)

CVE-2022-43684CRITICAL9.9ten sam produkt

ServiceNow has released patches and an upgrade that address an Access Control List (ACL) bypass issue in Servi...

CVE-2024-8924HIGH8.7ten sam produkt

ServiceNow has addressed a blind SQL injection vulnerability that was identified in the Now Platform. This vul...

CVE-2018-7748HIGH8.8ten sam produkt

report_viewer.do in ServiceNow Release Jakarta Patch 8 and earlier allows remote attackers to execute arbitrar...