Podatność typu code injection (CWE-94) w platformie ServiceNow Now Platform umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu. Krytyczny poziom zagrożenia wynika z braku wymogu uwierzytelnienia oraz pełnego dostępu do środowiska wykonawczego platformy.
▸ Pokaż oryginał (EN)
ServiceNow has addressed an input validation vulnerability that was identified in the Now Platform. This vulnerability could enable an unauthenticated user to remotely execute code within the context of the Now Platform. ServiceNow deployed an update to hosted instances and ServiceNow provided the update to our partners and self-hosted customers. Further, the vulnerability is addressed in the listed patches and hot fixes.
Luka polega na nieprawidłowej walidacji danych wejściowych (input validation vulnerability) w platformie Now Platform. Atakujący może przesłać specjalnie spreparowane żądanie sieciowe bez konieczności posiadania konta lub uwierzytelnienia, a platforma nieprawidłowo przetwarza dostarczone dane, co prowadzi do wykonania arbitralnego kodu w kontekście aplikacji. Podatność jest osiągalna zdalnie przez sieć bez żadnych dodatkowych warunków wstępnych.
Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod w kontekście platformy ServiceNow Now Platform, co może prowadzić do przejęcia kontroli nad systemem, ujawnienia danych lub ich modyfikacji.
ServiceNow wdrożył aktualizację na wszystkich hostowanych instancjach automatycznie. Klienci self-hosted oraz partnerzy powinni niezwłocznie zastosować patche i hot fixy wskazane przez producenta w artykule KB1706070 dostępnym w portalu wsparcia ServiceNow.
ServiceNow Now Platform — instancje hostowane oraz środowiska self-hosted partnerów i klientów, w wersjach wskazanych w referencjach producenta (KB1706070). ServiceNow wdrożył aktualizację na instancjach hostowanych i udostępnił ją partnerom oraz klientom self-hosted.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XServicenow
APPServicenowvancouverwashington_dcxanadu
Powiązane podatności
ServiceNow Now Platform — zdalny RCE bez uwierzytelnienia (input validation)
Krytyczna podatność RCE w ServiceNow Now Platform (input validation)
ServiceNow has released patches and an upgrade that address an Access Control List (ACL) bypass issue in Servi...
ServiceNow has addressed a blind SQL injection vulnerability that was identified in the Now Platform. This vul...
report_viewer.do in ServiceNow Release Jakarta Patch 8 and earlier allows remote attackers to execute arbitrar...