CVE-2017-12796

Krytyczne

Opublikowano: 23/10/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Dodatek Reporting Compatibility przed wersją 2.0.4 dla OpenMRS nie uwierzytelnia użytkowników podczas deserializacji danych XML do obiektów ReportSchema. Umożliwia to zdalnym, nieautoryzowanym użytkownikom wykonywanie poleceń systemowych poprzez przygotowanie złośliwych ładunków XML.

Ocena ryzyka

Organizacja jest narażona na poważne ryzyko, ponieważ atakujący może uzyskać dostęp do systemu operacyjnego i wykonywać dowolne polecenia, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się aktualizację dodatku Reporting Compatibility do wersji 2.0.4 lub nowszej oraz wdrożenie mechanizmów uwierzytelniania dla wszystkich operacji deserializacji danych XML.

Oryginalny opis (angielski, źródło NVD)

The Reporting Compatibility Add On before 2.0.4 for OpenMRS, as distributed in OpenMRS Reference Application before 2.6.1, does not authenticate users when deserializing XML input into ReportSchema objects. The result is that remote unauthenticated users are able to execute operating system commands by crafting malicious XML payloads, as demonstrated by a single admin/reports/reportSchemaXml.form request.