CVE-2025-34164
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W NetSupport Manager w wersjach 14.x przed 14.12.0000 występuje przepełnienie bufora na stercie. Zdalny, nieuwierzytelniony atakujący może wywołać odmowę usługi lub wykonać dowolny kod.
Ocena ryzyka
Możliwe jest zdalne wykonanie kodu lub destabilizacja usługi, co może prowadzić do przejęcia systemu.
Rekomendacja
Należy zaktualizować NetSupport Manager do wersji 14.12.0000 lub nowszej.
Inne podatności w NetSupport Manager
Zobacz wszystkie- CVE-2025-34181Wysokie
NetSupport Manager w wersjach przed 14.12.0001 zawiera podatność na zapis dowolnych plików w obsłudze żądań PUTFILE serwera Connectivity Server/Gateway. Atakujący z ważnym kluczem Gateway może dostarczyć spreparowaną nazwę pliku zawierającą sekwencje directory traversal, aby zapisać pliki w dowolnych lokalizacjach na serwerze. Może to zostać wykorzystane do umieszczenia kontrolowanych przez atakującego bibliotek DLL lub plików wykonywalnych w uprzywilejowanych ścieżkach i osiągnięcia zdalnego wykonania kodu w kontekście usługi NetSupport Manager connectivity.
- CVE-2025-34180Wysokie
NetSupport Manager przed wersją 14.12.0001 używa wspólnego klucza Gateway Key do uwierzytelniania między komponentami. Klucz jest przechowywany w odwracalnym schemacie kodowania, co pozwala atakującemu z dostępem do pliku konfiguracyjnego klienta na odzyskanie klucza i uzyskanie nieautoryzowanego dostępu do usług oraz zdalnego sterowania systemami.
- CVE-2025-34179Wysokie
NetSupport Manager w wersji wcześniejszej niż 14.12.0001 zawiera nieuwierzytelnioną podatność na wstrzykiwanie SQL w obsłudze żądań HTTPS przez Connectivity Server/Gateway. Serwer ocenia URI żądań za pomocą niesanityzowanego zapytania SQLite względem tabeli FileLinks w gateway.db. Wstrzykując SQL przez wartość LinkName/URI, zdalny atakujący może kontrolować pole FileName używane przez serwer do odczytu i zwracania plików z dysku, co prowadzi do ujawnienia dowolnych plików lokalnych.
Oryginalny opis (angielski, źródło NVD)
A heap-based buffer overflow vulnerability in NetSupport Manager 14.x versions prior to 14.12.0000 allows a remote, unauthenticated attacker to cause a denial of service (DoS) or execute arbitrary code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS