CVE-2025-31979
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W HCL BigFix SM wykryto podatność polegającą na obejściu walidacji przesyłanych plików — aplikacja nie egzekwuje prawidłowo ograniczeń typu plików podczas uploadu. Atakujący może wykorzystać tę lukę do przesłania złośliwych lub nieautoryzowanych plików, takich jak skrypty, pliki wykonywalne czy web shelle, omijając mechanizmy walidacji po stronie klienta i serwera.
Ocena ryzyka
Możliwość przesłania i potencjalnego wykonania złośliwego kodu (np. web shella) na serwerze może doprowadzić do zdalnego wykonania kodu i pełnego przejęcia systemu. Stanowi to poważne zagrożenie dla poufności, integralności i dostępności środowiska.
Rekomendacja
Zastosuj poprawki udostępnione przez HCL dla BigFix SM oraz wzmocnij walidację typów plików po stronie serwera. Rozważ ograniczenie możliwości przesyłania plików wykonywalnych i monitorowanie nietypowych uploadów.
Inne podatności w HCL BigFix SM
Zobacz wszystkie- CVE-2025-31977Średnie
HCL BigFix SM jest dotknięty słabością kryptograficzną z powodu słabych lub przestarzałych algorytmów szyfrowania. Atakujący z dostępem sieciowym może wykorzystać tę słabość do odszyfrowania lub manipulowania zaszyfrowaną komunikacją w określonych warunkach.
- CVE-2025-31972Średnie
HCL BigFix SM jest dotknięty podatnością na ujawnienie wrażliwych informacji, ponieważ wewnętrzne połączenia nie używają szyfrowania TLS, co może pozwolić atakującemu na nieautoryzowany dostęp do wrażliwych danych przesyłanych między wewnętrznymi komponentami.
Oryginalny opis (angielski, źródło NVD)
A File Upload Validation Bypass vulnerability has been identified in the HCL BigFix SM, where the application fails to properly enforce file type restrictions during the upload process. An attacker may exploit this flaw to upload malicious or unauthorized files, such as scripts, executables, or web shells, by bypassing client-side or server-side validation mechanisms.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS