CVE-2026-2039

GFI Archiver: Pominięcie autoryzacji w MArc.Store umożliwia RCE jako SYSTEM

CVSS 9.8v3.1pub. 2026-02-20upd. 2026-02-24

Podatność w GFI Archiver pozwala zdalnym atakującym ominąć uwierzytelnienie bez żadnych poświadczeń poprzez niechroniony proces MArc.Store.Remoting.exe. W połączeniu z innymi podatnościami może prowadzić do wykonania kodu z uprawnieniami SYSTEM.

▸ Pokaż oryginał (EN)

GFI Archiver MArc.Store Missing Authorization Authentication Bypass Vulnerability. This vulnerability allows remote attackers to bypass authentication on affected installations of GFI Archiver. Authentication is not required to exploit this vulnerability. The specific flaw exists within the configuration of the MArc.Store.Remoting.exe process, which listens on port 8018. The issue results from the lack of authorization prior to allowing access to functionality. An attacker can leverage this in conjunction with other vulnerabilities to execute code in the context of SYSTEM. Was ZDI-CAN-28597.

🤖 Analiza AI

Jak działa

Proces MArc.Store.Remoting.exe nasłuchuje na porcie 8018 i udostępnia funkcjonalność bez weryfikacji tożsamości ani uprawnień wywołującego (CWE-862 — brak wymaganej autoryzacji). Atakujący zdalnie, bez żadnego uwierzytelnienia, może komunikować się z tym procesem i uzyskać dostęp do jego funkcji. Wykorzystanie tej podatności w połączeniu z innymi lukami umożliwia eskalację do wykonania kodu w kontekście konta SYSTEM.

Skutki

Atakujący może ominąć uwierzytelnienie i uzyskać nieautoryzowany dostęp do funkcji serwisu, a w dalszej kolejności — poprzez łańcuch exploitów — wykonać dowolny kod z uprawnieniami SYSTEM na podatnym serwerze.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do portu 8018 (np. za pomocą firewalla lub reguł ACL) wyłącznie do autoryzowanych hostów do czasu wdrożenia poprawki.

Kogo dotyczy

GFI Archiver — wersje wskazane w referencjach producenta oraz w poradniku Zero Day Initiative (ZDI-26-077)

Uwagi

Podatność została zgłoszona przez Zero Day Initiative jako ZDI-CAN-28597 i opublikowana jako ZDI-26-077. Producent GFI Software jest wymieniony w referencjach poradnika ZDI.