CVE-2017-8794
KrytyczneStreszczenie
W urządzeniach Accellion FTA przed wersją FTA_9_12_180 odkryto problem związany z wyrażeniem regularnym, które nie zawiera początkowego znaku ^. To umożliwia ataki SSRF poprzez wzorzec URL file:///etc/passwd#https://.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych plików na serwerze, co może prowadzić do ujawnienia danych lub dalszych ataków na infrastrukturę organizacji.
Rekomendacja
Zaleca się aktualizację urządzeń Accellion FTA do wersji FTA_9_12_180 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered on Accellion FTA devices before FTA_9_12_180. Because a regular expression (intended to match local https URLs) lacks an initial ^ character, courier/web/1000@/wmProgressval.html allows SSRF attacks with a file:///etc/passwd#https:// URL pattern.