CVE-2017-8799

Krytyczne

Opublikowano: 05/05/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Wszystkie wersje iRODS przed 4.1.11 i 4.2.1 mają podatność, która pozwala na wykonanie nieautoryzowanych poleceń zdalnych przez innych użytkowników iRODS, potencjalnie anonimowych, poprzez wirtualne ścieżki iRODS. Wykorzystanie tej podatności polega na pobraniu wirtualnej ścieżki iRODS zawierającej średnik za pomocą igetwild.

Ocena ryzyka

Organizacja może być narażona na nieautoryzowane wykonanie poleceń w systemie, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację iRODS do wersji 4.1.11 lub 4.2.1 lub nowszej, aby zniwelować tę podatność.

Oryginalny opis (angielski, źródło NVD)

Untrusted input execution via igetwild in all iRODS versions before 4.1.11 and 4.2.1 allows other iRODS users (potentially anonymous) to execute remote shell commands via iRODS virtual pathnames. To exploit this vulnerability, a virtual iRODS pathname that includes a semicolon would be retrieved via igetwild. Because igetwild is a Bash script, the part of the pathname following the semicolon would be executed in the user's shell.