CVE-2024-58352
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 — wyżej niż 43% wszystkich znanych CVE
Streszczenie
Landray OA zawiera nieuwierzytelnioną podatność na wstrzykiwanie HQL, która pozwala atakującym na wykonywanie zapytań do encji Hibernate poprzez wstrzyknięcie złośliwej składni HQL do parametru uid w endpointcie wechatLoginHelper.do. Brak sanityzacji danych wejściowych w wyrażeniu filtru przekazywanym do metody findList() umożliwia wyodrębnienie poufnych danych, takich jak hashe haseł administratora, a przy odpowiednich uprawnieniach bazy danych – zapis plików i zdalne wykonanie kodu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje nieautoryzowany dostęp do poufnych danych uwierzytelniających oraz możliwość przejęcia kontroli nad systemem poprzez zdalne wykonanie kodu, co może prowadzić do naruszenia integralności i poufności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Landray OA do najnowszej wersji łatającej podatność oraz wdrożenie walidacji i sanityzacji wszystkich danych wejściowych w endpointcie wechatLoginHelper.do.
Oryginalny opis (angielski, źródło NVD)
Landray OA contains an unauthenticated HQL injection vulnerability that allows unauthenticated attackers to query arbitrary Hibernate entity classes by injecting malicious HQL syntax into the uid POST parameter of the wechatLoginHelper.do endpoint. Attackers can exploit the lack of input sanitization in the string-concatenated filter expression passed to the Hibernate findList() call to extract sensitive data such as administrator password hashes and, with sufficient database privileges, perform file-write operations enabling remote code execution. Exploitation evidence was first observed by the Shadowserver Foundation on 2024-03-11 (UTC).