CVE-2017-14101
KrytyczneStreszczenie
W rozwiązaniu Conserus Image Repository w wersji 2.1.1.105 odkryto podatność typu XML External Entity (XXE). Nieautoryzowany użytkownik może przesłać zmodyfikowane żądanie HTTP SOAP, co umożliwia dostęp do lokalnego systemu plików oraz przesyłanie zhakowanych poświadczeń konta usługi aplikacji do zdalnego atakującego.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa, umożliwiając atakującym dostęp do poufnych danych oraz potencjalne przejęcie kontroli nad systemem. Może to prowadzić do wycieku danych oraz naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania, aby usunąć tę podatność. Dodatkowo, warto wdrożyć mechanizmy zabezpieczające, takie jak walidacja i filtrowanie danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
A security researcher found an XML External Entity (XXE) vulnerability on the Conserus Image Repository archive solution version 2.1.1.105 by McKesson Medical Imaging Company, which is now a Change Healthcare company. An unauthenticated user supplying a modified HTTP SOAP request to the vulnerable service allows for arbitrary file read access to the local file system as well as the transmittal of the application service's account hashed credentials to a remote attacker.