CVE-2025-71260
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Wersje BMC FootPrints ITSM od 20.20.02 do 20.24.01.001 zawierają podatność na deserializację niezaufanych danych w obsłudze VIEWSTATE w serwletach ASP.NET, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu. Atakujący mogą dostarczyć spreparowane obiekty serializowane do parametru VIEWSTATE, co prowadzi do zdalnego wykonania kodu i pełnego kompromitowania aplikacji.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym przejęcie kontroli nad aplikacją i potencjalnie dostęp do wrażliwych danych. W przypadku wykorzystania tej luki, skutki mogą być katastrofalne dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się natychmiastowe zastosowanie dostępnych poprawek: 20.20.02, 20.20.03.002, 20.21.01.001, 20.21.02.002, 20.22.01, 20.22.01.001, 20.23.01, 20.23.01.002 oraz 20.24.01, aby zniwelować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
BMC FootPrints ITSM versions 20.20.02 through 20.24.01.001 contain a deserialization of untrusted data vulnerability in the ASP.NET servlet's VIEWSTATE handling that allows authenticated attackers to execute arbitrary code. Attackers can supply crafted serialized objects to the VIEWSTATE parameter to achieve remote code execution and fully compromise the application. The following hotfixes remediate the vulnerability: 20.20.02, 20.20.03.002, 20.21.01.001, 20.21.02.002, 20.22.01, 20.22.01.001, 20.23.01, 20.23.01.002, and 20.24.01.