Een kritieke kwetsbaarheid, CVE-2024-37777, is ontdekt in O2OA v9.0.3 waarbij ongeoorloofde toegang via een remote code execution (RCE) mogelijk is via de mainOutput() functie. Met een CVSS score van 8.8, is deze kwetsbaarheid hoogst ernstig, aangezien het netwerk zonder vereiste privileges kan worden aangevallen, wat leidt tot een volledige integriteit en beschikbaarheidsimpact.
Een aanvaller kan zonder toestemming van de gebruiker volledige controle over het systeem verkrijgen.
Overzicht
De kwetsbaarheid bevindt zich in O2OA v9.0.3 en maakt het voor aanvallers mogelijk om via het netwerk, zonder complexe aanvallen of interactie van de gebruiker, kwaadaardige code uit te voeren. Deze code injectie probleem is gerelateerd aan CWE-94 en CWE-20 vanwege onjuiste invoervalidering.
Aanbevelingen
- Controleer systemen met O2OA v9.0.3 en sluit deze indien nodig van het netwerk af totdat er een patch beschikbaar is.
- Houd de GitHub pagina van O2OA in de gaten voor updates omtrent beveiligingspatches.
Bronnen
Vraag en Antwoord
Wat is CVE-2024-37777?
Het is een ernstige kwetsbaarheid in O2OA v9.0.3 die toelaat dat een aanvaller op afstand ongeoorloofde code uitvoert.
Welke systemen zijn kwetsbaar voor CVE-2024-37777?
Systemen die gebruik maken van O2OA v9.0.3 zijn kwetsbaar.
Bestaat er al een patch of beveiligingsupdate?
Er is momenteel geen patch vrijgegeven. Het wordt aangeraden om de bron van het product in de gaten te houden.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan zonder gebruikersinterventie kritieke acties uitvoeren, zoals het uitlezen of manipuleren van gegevens.
