CVE-2025-14500

Krytyczne

Opublikowano: 23/12/2025(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2025-14500 w IceWarp14 umożliwia zdalnym atakującym wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z niewłaściwego przetwarzania nagłówka X-File-Operation, co pozwala na wykonanie systemowego wywołania bez odpowiedniej walidacji.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do uzyskania pełnych uprawnień systemowych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji. Brak wymogu autoryzacji zwiększa ryzyko ataku.

Rekomendacja

Zaleca się natychmiastowe zaktualizowanie oprogramowania IceWarp do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczające, aby ograniczyć dostęp do systemu.

Oryginalny opis (angielski, źródło NVD)

IceWarp14 X-File-Operation Command Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of IceWarp. Authentication is not required to exploit this vulnerability. The specific flaw exists within the handling of the X-File-Operation header. The issue results from the lack of proper validation of a user-supplied string before using it to execute a system call. An attacker can leverage this vulnerability to execute code in the context of SYSTEM. Was ZDI-CAN-27394.