Kofax Capture (obecnie Tungsten Capture) w wersji 6.0.0.0 udostępnia niezabezpieczony, przestarzały kanał .NET Remoting HTTP na porcie 2424, dostępny bez uwierzytelniania. Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu, odczyt i zapis dowolnych plików oraz przechwycenie danych uwierzytelniających NTLMv2.
▸ Pokaż oryginał (EN)
Kofax Capture, now referred to as Tungsten Capture, version 6.0.0.0 (other versions may be affected) exposes a deprecated .NET Remoting HTTP channel on port 2424 via the Ascent Capture Service that is accessible without authentication and uses a default, publicly known endpoint identifier. An unauthenticated remote attacker can exploit .NET Remoting object unmarshalling techniques to instantiate a remote System.Net.WebClient object and read arbitrary files from the server filesystem, write attacker-controlled files to the server, or coerce NTLMv2 authentication to an attacker-controlled host, enabling sensitive credential disclosure, denial of service, remote code execution, or lateral movement depending on service account privileges and network environment.
Usługa Ascent Capture Service eksponuje kanał .NET Remoting HTTP na porcie 2424 z użyciem domyślnego, publicznie znanego identyfikatora punktu końcowego i bez jakiegokolwiek mechanizmu uwierzytelniania. Atakujący może wykorzystać techniki deserializacji obiektów .NET Remoting do zdalnego tworzenia instancji obiektów, takich jak System.Net.WebClient. Pozwala to na odczyt dowolnych plików z systemu plików serwera, zapis plików kontrolowanych przez atakującego lub wymuszenie uwierzytelniania NTLMv2 (coercion) względem hosta kontrolowanego przez atakującego.
Atakujący może uzyskać nieautoryzowany dostęp do plików serwera, wykonać zdalny kod (RCE), spowodować odmowę usługi (DoS), przechwycić poświadczenia NTLMv2 lub przeprowadzić lateral movement – zakres skutków zależy od uprawnień konta usługi i konfiguracji sieci.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (dokumentacja Tungsten Automation: https://docshield.tungstenautomation.com). Dodatkowo zaleca się ograniczenie dostępu sieciowego do portu 2424 wyłącznie do zaufanych hostów (firewall/segmentacja sieci) oraz wyłączenie kanału .NET Remoting HTTP, jeśli nie jest wymagany do działania systemu.
Kofax Capture / Tungsten Capture wersja 6.0.0.0; inne wersje mogą być również podatne zgodnie z opisem producenta.
Podatność została opisana i opublikowana przez badacza VAMorales (odniesienie do publicznego gist na GitHub). Dostępny jest publiczny proof-of-concept. CWE-306 (brak uwierzytelniania dla funkcji krytycznej) oraz CWE-441 (niezamierzony pośrednik – Proxy) jako podstawy klasyfikacji.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X