Podatność w pakiecie OAKlouds firmy Hgiga umożliwia nieuwierzytelnionym zdalnym atakującym pobieranie dowolnych plików systemowych, które mogą następnie zostać usunięte. Poprzednia poprawka dla CVE-2024-26261 okazała się niekompletna i nie wyeliminowała problemu.
▸ Pokaż oryginał (EN)
The fix for CVE-2024-26261 was incomplete, and and the specific package for OAKlouds from Hgiga remains at risk. Unauthenticated remote attackers still can download arbitrary system files, which may be deleted subsequently .
Podatność opiera się na nieprawidłowej obsłudze ścieżek absolutnych (CWE-36 — absolute path traversal), co pozwala atakującemu na żądanie dowolnych plików spoza dozwolonego katalogu. Ponieważ dostęp nie wymaga uwierzytelnienia, atakujący może wysłać spreparowane żądanie sieciowe i uzyskać treść dowolnego pliku systemowego. Dodatkowo pobrane pliki mogą zostać następnie usunięte z serwera, co grozi trwałą utratą danych.
Atakujący może uzyskać dostęp do poufnych plików systemowych (np. konfiguracji, danych uwierzytelniających), a także trwale je usunąć, powodując zakłócenie działania systemu lub utratę danych.
Należy zastosować patche dostępne u producenta (Hgiga) zgodnie z referencjami opublikowanymi przez TWCERT (https://www.twcert.org.tw/en/cp-139-8131-0b5e1-2.html). Poprzednia poprawka dla CVE-2024-26261 jest niewystarczająca — wymagana jest aktualizacja dedykowana dla CVE-2024-9924.
Pakiet OAKlouds firmy Hgiga — wersje wskazane w referencjach producenta (podatność dotyczy produktów, w których wdrożono niekompletną poprawkę dla CVE-2024-26261)
Podatność stanowi niekompletną naprawę wcześniejszego CVE-2024-26261 w tym samym komponencie. Informacja opublikowana przez TWCERT (Taiwan Computer Emergency Response Team) w dniu 2024-10-14.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H