CVE-2022-44784
Açıklama
Appalti & Contratti 9.12.2 sürümünde bir sorun tespit edilmiştir. Hedef web uygulamaları olan LFS ve DL229, Local File Inclusion aracılığıyla sızdırılan WEB-INF/web.xml dosyasının işaret ettiği üzere, doğrudan uygulamalara gömülü olan Axis 1.4 örneği tarafından sağlanan bir dizi servisi dışarı açmaktadır. Açık servisler arasında, varsayılan yapılandırması gereği normalde yalnızca localhost üzerinden erişilebilir olması gereken Axis AdminService bulunmaktadır. Buna rağmen, hem LFS hem de DL229 üzerinde söz konusu servise erişilmeye çalışıldığında, servisin uzaktaki kullanıcılar tarafından da erişilebilir olduğu görülmüş ve bu durum sunucu tarafında keyfi servislerin oluşturulmasına izin vermektedir. Bir saldırgan AdminService'e erişebildiğinde, bunu sunucuda keyfi servisler başlatmak için kullanabilir. İstismar prosedürü iyi bilinmektedir ve Generic AXIS-SSRF exploitation kısmında açıklanmıştır. Temel olarak saldırı, org.apache.axis.handlers.LogHandler sınıfı aracılığıyla web uygulamasının kök dizinine bir JSP sayfası yazılmasından oluşmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| maggioli appalti_\&_contratti | 9.12.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.