CVE-2025-24937

Nokia Wavesuite NOC — path traversal i RFI umożliwiające pełne przejęcie kontenera

CVSS 9.0v3.1pub. 2025-07-21upd. 2025-08-11

Podatność w aplikacji webowej Nokia Wavesuite NOC pozwala atakującemu na odczyt dowolnych plików z lokalnego systemu plików oraz wstrzyknięcie złośliwego kodu do pliku wykonywanego przez serwer WWW. W wyniku eksploatacji możliwe jest pełne przejęcie aplikacji webowej oraz kontenera, w którym działa.

▸ Pokaż oryginał (EN)

File contents could be read from the local file system by an attacker. Additionally, malicious code could be inserted in the file, leading to a full compromise of the web application and the container it is running on. The vulnerable component is bound to the network stack and the set of possible attackers extends up to and including the entire Internet. The web application allows arbitrary files to be included in a file that was downloadable and executable by the web server.

🤖 Analiza AI

Jak działa

Aplikacja webowa umożliwia dołączanie (include) dowolnych plików do zasobu, który jest następnie pobierany i wykonywany przez serwer WWW — co odpowiada klasycznej podatności Remote File Inclusion (RFI) sklasyfikowanej jako CWE-98. Atakujący może w ten sposób odczytać zawartość plików z lokalnego systemu plików serwera, a także umieścić w dołączanym pliku złośliwy kod. Podatny komponent jest dostępny z sieci (bound to the network stack), co oznacza, że zasięg potencjalnych atakujących obejmuje cały Internet. Wymagany jest niski poziom uprawnień oraz dostęp z sieci sąsiedniej (wektor AV:A).

Skutki

Atakujący może odczytać poufne pliki z systemu plików serwera, wykonać dowolny kod w kontekście serwera WWW oraz całkowicie przejąć kontrolę nad aplikacją webową i środowiskiem kontenerowym, w którym jest uruchomiona — narażając poufność, integralność i dostępność systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.nokia.com/about-us/security-and-privacy/product-security-advisory/cve-2025-24937/). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do podatnego komponentu oraz monitorowanie ruchu pod kątem prób eksploatacji.