CVE-2026-26335
CriticalSummary
Wersje Calero VeraSMART przed 2022 R1 używają statycznych wartości machineKey ASP.NET/IIS, które są skonfigurowane dla aplikacji webowej VeraSMART i przechowywane w pliku web.config. Atakujący, który zdobędzie te klucze, może stworzyć ważny ładunek ViewState ASP.NET, co prowadzi do deserializacji po stronie serwera i zdalnego wykonania kodu w kontekście aplikacji IIS.
Risk Assessment
Zagrożenie to może prowadzić do poważnych naruszeń bezpieczeństwa, w tym do zdalnego wykonania kodu, co stwarza ryzyko przejęcia kontroli nad serwerem aplikacyjnym. Organizacje mogą być narażone na utratę danych oraz usunięcie lub modyfikację krytycznych zasobów.
Recommendation
Zaleca się aktualizację do wersji VeraSMART 2022 R1 lub nowszej, aby usunąć statyczne wartości machineKey. Dodatkowo, należy rozważyć wprowadzenie dodatkowych zabezpieczeń, takich jak monitorowanie i audyt dostępu do plików konfiguracyjnych.
Original NVD description (English source)
Calero VeraSMART versions prior to 2022 R1 use static ASP.NET/IIS machineKey values configured for the VeraSMART web application and stored in C:\\Program Files (x86)\\Veramark\\VeraSMART\\WebRoot\\web.config. An attacker who obtains these keys can craft a valid ASP.NET ViewState payload that passes integrity validation and is accepted by the application, resulting in server-side deserialization and remote code execution in the context of the IIS application.