CVE-2025-35061

Newforma Info Exchange (NIX) akceptuje serializowane dane .NET poprzez punkt końcowy '/remoteweb/remote.rem', co pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu z uprawnieniami 'NT AUTHORITY\NetworkService'. Podatny punkt końcowy jest używany przez Newforma Project Center Server (NPCS), więc skompromitowany system NIX może posłużyć do ataku na powiązany system NPCS.

Newforma Info Exchange (NIX) przed wersją 2023.1 domyślnie zezwala na anonimowe uwierzytelnianie, co pozwala nieuwierzytelnionemu atakującemu na wykorzystanie innych podatności wymagających uwierzytelnienia.

Newforma Info Exchange (NIX) udostępnia funkcję 'Send a File Transfer', która pozwala zdalnemu, uwierzytelnionemu atakującemu na przesłanie plików SVG zawierających JavaScript lub inną treść, która może zostać wykonana lub wyrenderowana przez przeglądarkę internetową przy użyciu mobilnego agenta użytkownika.

W aplikacji Newforma Info Exchange (NIX) ścieżka '/DownloadWeb/hyperlinkredirect.aspx' umożliwia nieuwierzytelnione przekierowanie adresu URL poprzez parametr 'nhl'. Atakujący może wykorzystać ten parametr do przekierowania użytkownika na dowolną stronę.

Newforma Info Exchange (NIX) w pliku '/UserWeb/Common/MarkupServices.ashx' pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wymuszenie połączenia SMB z kontrolowanym przez atakującego systemem. Atakujący może przechwycić hash NTLMv2 konta usługi NIX skonfigurowanego przez klienta.

Newforma Info Exchange (NIX) w pliku '/RemoteWeb/IntegrationServices.ashx' umożliwia zdalnemu, nieuwierzytelnionemu atakującemu spowodowanie nawiązania połączenia SMB z systemem kontrolowanym przez atakującego. Atakujący może przechwycić hash NTLMv2 konta usługi NIX.

Newforma Info Exchange (NIX) w pliku '/UserWeb/Common/MarkupServices.ashx' funkcja 'StreamStampImage' akceptuje zaszyfrowaną ścieżkę pliku i zwraca obraz określonego pliku. Uwierzytelniony atakujący może odczytać dowolne pliki z uprawnieniami NIX, zazwyczaj 'NT AUTHORITY\NetworkService', oraz możliwościami StreamStampImage do przetwarzania pliku. Zaszyfrowana ścieżka pliku może być wygenerowana przy użyciu współdzielonego, twardo zakodowanego klucza opisanego w CVE-2025-35052. Ta podatność nie może być wykorzystana przez użytkownika 'anonimowego' jak opisano w CVE-2025-35062.

Newforma Info Exchange (NIX) w pliku '/UserWeb/Common/UploadBlueimp.ashx' pozwala uwierzytelnionemu atakującemu na przesłanie dowolnego pliku do dowolnej lokalizacji zapisywalnej przez aplikację. Atakujący może przesłać i uruchomić webshella lub inne treści wykonywalne przez serwer WWW, a także usuwać katalogi. W wersjach przed 2023.1 anonimowy dostęp jest domyślnie włączony, co pozwala nieuwierzytelnionemu atakującemu wykorzystać tę podatność.

Newforma Info Exchange (NIX) akceptuje żądania do '/UserWeb/Common/MarkupServices.ashx' z poleceniem 'DownloadExportedPDF', które pozwalają uwierzytelnionemu użytkownikowi na odczyt i usuwanie dowolnych plików z uprawnieniami 'NT AUTHORITY\NetworkService'. W wersjach przed 2023.1 anonimowy dostęp jest domyślnie włączony (CVE-2025-35062), co pozwala nieuwierzytelnionemu atakującemu na skuteczne uwierzytelnienie jako 'anonymous' i wykorzystanie tej podatności.

Newforma Info Exchange (NIX) używa twardo zakodowanego klucza do szyfrowania niektórych parametrów zapytań. Niektóre zaszyfrowane wartości parametrów mogą określać ścieżki do pobierania plików, potencjalnie omijając uwierzytelnianie i autoryzację, na przykład parametr 'qs' używany w '/DownloadWeb/download.aspx'. Klucz jest współdzielony między instalacjami NIX. Wersje 2023.3 i 2024.1 ograniczają użycie twardo zakodowanych kluczy.