CVE-2017-16926
KrytyczneStreszczenie
Ohcount w wersji 3.0.0 jest podatny na wstrzyknięcie poleceń poprzez specjalnie skonstruowane nazwy plików zawierające metaznaki powłoki. Atakujący może wykorzystać tę podatność, dostarczając drzewo źródłowe do przetworzenia przez Ohcount, co pozwala na wykonanie dowolnego kodu jako użytkownik uruchamiający Ohcount.
Ocena ryzyka
Podatność ta może prowadzić do wykonania dowolnego kodu na systemie, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. Atakujący może uzyskać dostęp do systemu i danych, co może skutkować utratą poufności i integralności informacji.
Rekomendacja
Zaleca się aktualizację Ohcount do najnowszej wersji, która eliminuje tę podatność. Dodatkowo, należy ograniczyć dostęp do funkcji przetwarzania Ohcount tylko do zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Ohcount 3.0.0 is prone to a command injection via specially crafted filenames containing shell metacharacters, which can be exploited by an attacker (providing a source tree for Ohcount processing) to execute arbitrary code as the user running Ohcount.