CVE-2024-43804

Roxy-WI; Haproxy, Nginx, Apache ve Keepalived sunucularını yönetmek için kullanılan bir web arayüzüdür. Bir OS Command Injection zafiyeti, uygulamadaki herhangi bir kimliği doğrulanmış kullanıcının, port tarama işlevi aracılığıyla web uygulama sunucusunda rastgele kod çalıştırmasına olanak tanır. Kullanıcı tarafından sağlanan girdi, bir OS komutu oluşturulurken ve yürütülürken doğrulama yapılmadan kullanılır. Kullanıcı tarafından sağlanan JSON POST verileri ayrıştırılır ve eğer "id" JSON anahtarı mevcut değilse, "ip" JSON anahtarı üzerinden sağlanan JSON değeri "ip" değişkenine atanır. Daha sonra, saldırgan tarafından kontrol edilebilen "ip" değişkeni, herhangi bir ek doğrulama olmaksızın cmd ve cmd1 dizgeleri oluşturulurken kullanılır. Ardından, hem cmd1 hem de cmd2 üzerinde server_mod.subprocess_execute fonksiyonu çağrılır. server_mod.subprocess_execute() fonksiyonunun tanımı analiz edildiğinde, giriş parametresi üzerinde shell=True ile subprocess.Popen() fonksiyonunun çağrıldığı görülmektedir ve bu durum OS Command Injection ile sonuçlanır. Bu sorun henüz yamalanmamıştır. Kullanıcıların, bir düzeltmeyi koordine etmek için Roxy-WI ile iletişime geçmeleri önerilir.