Aktywnie wykorzystywana w atakach
Quest KACE System Management Appliance Remote Command Execution Vulnerability
Quest - KACE System Management Appliance · Figuruje w katalogu CISA KEV od 2022-03-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2018-11138
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Skrypt '/common/download_agent_installer.php' w Quest KACE System Management Appliance 8.0.318 jest dostępny dla anonimowych użytkowników i może być wykorzystany do wykonania dowolnych poleceń w systemie.
Ocena ryzyka
Osoba nieuwierzytelniona może uzyskać pełną kontrolę nad urządzeniem KACE, co może prowadzić do przejęcia zarządzanych systemów i danych.
Rekomendacja
Ogranicz dostęp do skryptu, zablokuj go dla anonimowych użytkowników i zastosuj dostępne poprawki od producenta.
Oryginalny opis (angielski, źródło NVD)
The '/common/download_agent_installer.php' script in the Quest KACE System Management Appliance 8.0.318 is accessible by anonymous users and can be abused to execute arbitrary commands on the system.