CVE-2017-5219
Təsvir
SageCRM 7.x versiyasının 7.3 SP3-dən əvvəlki versiyalarında bir problem aşkar edilmişdir. SageCRM tərəfindən təmin edilən Component Manager funksionallığı, mövcud imkanları genişləndirmək üçün tətbiqə əlavə komponentlərin əlavə edilməsinə imkan verir. Bu funksionallıq, daxilində etibarlı .ecf komponent faylı olan zip faylının yüklənməsinə və onun webroot-dan kənarda yerləşən inf kataloquna çıxarılmasına şərait yaradır. Fayl yoxlama mərhələsindən keçmək üçün boş .ecf faylı olan zip faylı yaratmaqla, zip faylında təqdim olunan hər hansı digər fayl fayl sisteminə çıxarıla bilər. Bu halda, zip faylının daxilinə '..\WWWRoot\CustomPages\aspshell.asp' adlı veb shell daxil edilmişdir ki, o, çıxarıldıqda inf kataloqundan çıxaraq SageCRM webroot-una daxil olmuşdur. Bu, alt fayl sistemi ilə ən yüksək imtiyaz səviyyəsində (SYSTEM) uzaqdan qarşılıqlı əlaqəyə imkan vermişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sagecrm sagecrm | 7.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.