CVE-2017-14143
KrytyczneStreszczenie
Funkcja getUserzoneCookie w Kaltura przed wersją 13.2.0 wykorzystuje zakodowany na sztywno sekret cookie do walidacji podpisów cookie, co pozwala zdalnym atakującym na ominięcie zamierzonego mechanizmu ochrony.
Ocena ryzyka
Atakujący mogą przeprowadzić ataki wstrzykiwania obiektów PHP oraz wykonywać dowolny kod PHP poprzez spreparowane cookie userzone, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji.
Rekomendacja
Zaleca się aktualizację Kaltura do wersji 13.2.0 lub nowszej, aby usunąć tę podatność oraz unikać używania zakodowanych na sztywno sekretów w mechanizmach walidacji.
Oryginalny opis (angielski, źródło NVD)
The getUserzoneCookie function in Kaltura before 13.2.0 uses a hardcoded cookie secret to validate cookie signatures, which allows remote attackers to bypass an intended protection mechanism and consequently conduct PHP object injection attacks and execute arbitrary PHP code via a crafted userzone cookie.