CVE-2025-58443

FOG Project – pomijanie uwierzytelnienia umożliwia zrzut bazy danych

CVSS 9.9v4.0pub. 2025-09-06upd. 2025-09-29

FOG Project w wersjach 1.5.10.1673 i wcześniejszych zawiera krytyczną podatność typu authentication bypass, która pozwala nieuwierzytelnionemu atakującemu pobrać pełny zrzut bazy danych SQL. Zagrożenie jest szczególnie poważne, gdyż nie wymaga żadnych poświadczeń ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

FOG is a free open-source cloning/imaging/rescue suite/inventory management system. Versions 1.5.10.1673 and below contain an authentication bypass vulnerability. It is possible for an attacker to perform an unauthenticated DB dump where they could pull a full SQL DB without credentials. A fix is expected to be released 9/15/2025. To address this vulnerability immediately, upgrade to the latest version of either the dev-branch or working-1.6 branch. This will patch the issue for users concerned about immediate exposure. See the FOG Project documentation for step-by-step upgrade instructions: https://docs.fogproject.org/en/latest/install-fog-server#choosing-a-fog-version.

🤖 Analiza AI

Jak działa

Podatność wynika z braku wymaganego uwierzytelnienia przy dostępie do funkcji eksportu/zrzutu bazy danych (CWE-306: Missing Authentication for Critical Function) oraz wadliwej weryfikacji tożsamości żądającego (CWE-287: Improper Authentication). Atakujący może wysłać odpowiednio spreparowane żądanie sieciowe do podatnego endpointu i uzyskać kompletny zrzut bazy SQL bez podawania jakichkolwiek poświadczeń. Nie są wymagane żadne szczególne warunki – atak jest możliwy zdalnie, bez uwierzytelnienia i bez interakcji po stronie ofiary.

Skutki

Atakujący może uzyskać pełną kopię bazy danych SQL systemu FOG Project, co naraża na ujawnienie wszystkich przechowywanych danych, w tym potencjalnie danych uwierzytelniających, informacji o zarządzanej infrastrukturze oraz innych wrażliwych informacji konfiguracyjnych. Przejęcie zawartości bazy może umożliwić dalsze naruszenie bezpieczeństwa środowiska IT.

Mitygacja

Należy niezwłocznie zaktualizować FOG Project do najnowszej wersji z gałęzi dev-branch lub working-1.6, które zawierają poprawkę eliminującą podatność. Oficjalna wersja patcha planowana jest na 15 września 2025 roku. Instrukcja krok po kroku dotycząca aktualizacji dostępna jest w dokumentacji projektu: https://docs.fogproject.org/en/latest/install-fog-server#choosing-a-fog-version

Kogo dotyczy

FOG Project (fogproject) w wersjach 1.5.10.1673 i wszystkich wcześniejszych

Uwagi

Według opisu, oficjalna wersja z poprawką ma zostać wydana 15 września 2025 roku. Do tego czasu producent zaleca migrację na gałąź dev-branch lub working-1.6. Podatność ujawniona za pośrednictwem GitHub Security Advisories (GHSA-mvwm-9m2h-87p9).

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X