Aktywnie wykorzystywana w atakach
Sitecore XP Remote Command Execution Vulnerability
Sitecore - XP · Figuruje w katalogu CISA KEV od 2022-03-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-42237
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność w Sitecore XP od wersji 7.5 do 8.2 Update-7 umożliwia zdalne wykonanie kodu poprzez niezabezpieczoną deserializację. Atak nie wymaga uwierzytelnienia ani specjalnej konfiguracji.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad serwerem przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub przerwania działania usług.
Rekomendacja
Należy natychmiast zaktualizować Sitecore XP do wersji 8.2 Update-8 lub nowszej, która zawiera poprawkę eliminującą podatność na niezabezpieczoną deserializację.
Oryginalny opis (angielski, źródło NVD)
Sitecore XP 7.5 Initial Release to Sitecore XP 8.2 Update-7 is vulnerable to an insecure deserialization attack where it is possible to achieve remote command execution on the machine. No authentication or special configuration is required to exploit this vulnerability.