CVE-2025-7388
WysokieStreszczenie
W OpenEdge AdminServer istniała możliwość zdalnego wykonania polecenia (RCE) za pośrednictwem interfejsu Java RMI, co pozwalało uwierzytelnionym użytkownikom na wstrzykiwanie i wykonywanie poleceń systemowych pod uprawnieniami procesu AdminServer. Interfejs RMI umożliwiał manipulację właściwością konfiguracyjną z niewystarczającą walidacją wejścia, co prowadziło do wstrzyknięcia poleceń systemowych.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń systemowych, co może prowadzić do przejęcia kontroli nad systemem. W konsekwencji może to skutkować utratą danych, naruszeniem integralności systemu oraz zagrożeniem dla poufności informacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie OpenEdge AdminServer do najnowszej wersji, która eliminuje tę podatność. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczeń, takie jak ograniczenie dostępu do interfejsu RMI tylko dla zaufanych użytkowników.
Powiązane podatności
- CVE-2026-96257Krytyczne
W urządzeniu Fast FAC1203R Gigabit Edition 2.0.4 wykryto podatność w funkcji copy_msg_element komponentu Device Discovery Service. Manipulacja danymi wejściowymi może doprowadzić do przepełnienia bufora na stosie, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-18169Krytyczne
IBM Financial Transaction Manager (FTM) dla RedHat OpenShift może umożliwić zdalnemu uwierzytelnionemu atakującemu uzyskanie informacji wrażliwych z powodu niewłaściwej walidacji dowiązań symbolicznych.
- CVE-2026-18163Krytyczne
IBM Financial Transaction Manager (FTM) dla RedHat OpenShift może umożliwić zdalnemu atakującemu wykonanie dowolnego kodu z powodu niewłaściwej deserializacji niezaufanych danych.
- CVE-2026-18162Krytyczne
IBM Financial Transaction Manager (FTM) dla RedHat OpenShift umożliwia zdalnemu atakującemu wykonanie dowolnego kodu z powodu nieprawidłowej neutralizacji danych wprowadzanych przez użytkownika w konstruktorze Function.
- CVE-2026-19202Krytyczne
Wada w buforowaniu w pakiecie toolbox-core SDK mcp-toolbox-sdk-python powoduje, że ten sam token Google ID jest buforowany i ponownie używany dla różnych odbiorców. Jeśli aplikacja używa SDK do uwierzytelniania w dwóch lub więcej różnych odbiorcach w tym samym procesie, bufor tokenów na poziomie modułu nie kluczuje tokenów według żądanego odbiorcy. W rezultacie ważny, niewygasły token wybity dla wrażliwej usługi (Usługa A) może zostać pobrany z bufora i wysłany do drugiej usługi (Usługa B). Atakujący, który obsługuje, kompromituje lub monitoruje ruch do Usługi B, może przechwycić ten token i odtworzyć go, aby podszyć się pod aplikację ofiary wobec Usługi A.
- CVE-2026-17645Krytyczne
IBM Financial Transaction Manager (FTM) dla RedHat OpenShift umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie podwyższonych uprawnień z powodu nieprawidłowego zarządzania uprawnieniami.
- CVE-2026-17635Krytyczne
IBM Financial Transaction Manager (FTM) dla RedHat OpenShift umożliwia zdalnemu atakującemu wykonywanie nieautoryzowanych działań z powodu nieprawidłowej konfiguracji zabezpieczeń opartych na metodach HTTP.
- CVE-2026-17472Krytyczne
IBM Concert w wersjach od 1.0.0 do 3.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu dostęp do nieautoryzowanych zasobów lub ich modyfikację z powodu użycia symboli wieloznacznych w definicjach uprawnień RBAC.
- CVE-2026-16346Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnych poleceń z powodu nieprawidłowej neutralizacji specjalnych elementów używanych w poleceniu systemu operacyjnego.
- CVE-2026-77987Krytyczne
Podatność typu server-side request forgery (SSRF) w przeglądarce notebooków GitHub Enterprise Server. Przeglądarka notebooków walidowała schemat i host adresu URL podanego przez użytkownika, ale nie walidowała portu, co pozwalało na kierowanie żądań do wewnętrznych usług nasłuchujących na innych portach tego samego urządzenia. Treści odpowiedzi nie były zwracane żądającemu, ale czas odpowiedzi działał jak wyrocznia, pozwalając na wydobycie sekretów instancji znak po znaku. Wydobyty sekret mógł być następnie użyty w osobnej interakcji z wewnętrzną usługą w celu uzyskania zdalnego wykonania kodu na urządzeniu. Eksploitacja wymagała dostępu sieciowego do instancji i była nieuwierzytelniona, gdy tryb prywatny był wyłączony, lub wymagała dowolnego uwierzytelnionego użytkownika, gdy tryb prywatny był włączony. Podatność dotyczyła wersji GitHub Enterprise Server od 3.17 do 3.22 i została naprawiona w wersjach 3.22.1, 3.21.6, 3.20.8, 3.19.12, 3.18.15 i 3.17.21. Podatność została zgłoszona przez program GitHub Bug Bounty.
Oryginalny opis (angielski, źródło NVD)
It was possible to perform Remote Command Execution (RCE) via Java RMI interface in the OpenEdge AdminServer, allowing authenticated users to inject and execute OS commands under the delegated authority of the AdminServer process. An RMI interface permitted manipulation of a configuration property with inadequate input validation leading to OS command injection.