CVE-2025-54306

Thermo Fisher Torrent Suite Django uygulaması 5.18.1 sürümünde bir sorun keşfedildi. Ağ yapılandırma işlevselliğinde, yönetim uç noktaları aracılığıyla ağ yapılandırma parametreleri işlenirken yetersiz girdi doğrulamasından kaynaklanan bir uzaktan kod çalıştırma güvenlik açığı bulunmaktadır. Uygulama, yöneticilerin Django uygulaması aracılığıyla sunucunun ağ yapılandırmasını değiştirmesine olanak tanır. Bu yapılandırma, kullanıcı tarafından kontrol edilen verileri uygun temizleme işlemi yapılmadan doğrudan ortam değişkenlerine yazan Bash betikleri (TSsetnoproxy ve TSsetproxy) tarafından işlenir. Ortam değişkenlerini güncelledikten sonra betikler /etc/environment üzerinde bir source komutu çalıştırır; bir saldırgan ortam değişkenlerine kötü amaçlı veri enjekte ederse, bu komut rastgele komut çalıştırılmasını etkinleştirebilir. Güvenlik açığı, kullanıcı tarafından sağlanan form verilerini subprocess.Popen çağrılarına argüman olarak ileten /admin/network uç noktasıyla başlar. Kullanıcı tarafından sağlanan girdi daha sonra TSsetnoproxy ve TSsetproxy içindeki ortam değişkenlerini güncellemek için kullanılır ve son olarak source $environment çalıştırılır.