CVE-2025-34350
Açıklama
UnForm Server 10.1.15 öncesi sürümleri, Doc Flow özelliğinin 'arc' uç noktasında kimlik doğrulaması gerektirmeyen rastgele dosya okuma ve SMB zorlama güvenlik açığı içerir. Doc Flow modülü, kullanıcı tarafından sağlanan 'pp' parametresiyle belirtilen sayfaları veya kaynakları alıp işlemek için 'arc' işleyicisini kullanır, ancak bunu kimlik doğrulamasını zorunlu kılmadan veya yol girdilerini kısıtlamadan yapar. Sonuç olarak, kimlik doğrulaması yapılmamış uzak bir saldırgan, hizmet hesabının erişebildiği rastgele dosyaları okumak için yerel dosya sistemi yolları sağlayabilir. Windows dağıtımlarında, bir UNC yolu sağlamak sunucuyu giden SMB kimlik doğrulaması başlatmaya da zorlayabilir ve bu da NTLM kimlik bilgilerini çevrimdışı kırma veya relay için potansiyel olarak açığa çıkarabilir. Bu sorun hassas bilgi ifşasına yol açabilir ve bazı ortamlarda daha fazla yanal hareketi mümkün kılabilir.
Nasıl düzeltilir
- Synergetic Data Systems, Inc. UnForm Server10.1.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Synergetic Data Systems, Inc. UnForm Server | v < 10.1.15 | 10.1.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.