CISA KEV: Staré chyby dál ohrožují servery

CISA zařadila 8. října mezi aktivně zneužívané zranitelnosti pět starších chyb v BIND, Apache Struts, Strapi, ONLYOFFICE a ProFTPD. Vedle výpadku DNS mohou neaktualizované instalace umožnit únik citlivých údajů, neoprávněnou manipulaci se soubory nebo spuštění kódu na serveru.

V DNS serveru BIND jde o CVE-2015-5477. Speciálně vytvořený dotaz na záznam TKEY může vyvolat selhání vnitřní kontroly a ukončit proces named. Zranitelné jsou rekurzivní i autoritativní servery, takže dopadem může být nedostupnost překladu doménových jmen. ISC upozorňuje, že běžná omezení přístupu v konfiguraci BIND tuto cestu neblokují: k chybě dochází při zpracování paketu ještě před jejich vyhodnocením. Výrobce uvádí skóre CVSS 2.0 7,8. Historické opravy vyšly ve verzích 9.9.7-P2 a 9.10.2-P3; starší zranitelné větve vyžadují přechod na opravenou verzi.

Apache Struts se týká CVE-2016-3081, která umožňuje vzdálené spuštění kódu při zapnutém Dynamic Method Invocation, tedy dynamickém vyvolávání metod. Útočník může zneužít zpracování výrazu předaného prostřednictvím prefixu method:. Apache ve svém bezpečnostním oznámení doporučuje tuto funkci vypnout, pokud ji aplikace nepotřebuje. Opravy vydal ve verzích 2.3.20.3, 2.3.24.3 a 2.3.28.1. Hodnocení CISA-ADP v záznamu CVE je CVSS 3.1 8,1. Při kontrole nestačí zjistit, zda organizace Struts používá; podstatná je i skutečná konfigurace konkrétní aplikace.

U redakčního systému Strapi je novým přírůstkem CVE-2023-22894. Filtrování přes neveřejná pole umožňuje odvozovat citlivé uživatelské údaje z odpovědí aplikace, včetně hashů hesel a tokenů pro jejich obnovu. Popis v NVD pracuje s přístupem do administračního rozhraní a uvádí skóre CVSS 3.1 4,9; doplňkové hodnocení CISA-ADP ve stejné databázi je 7,2. Výrobce však ve zveřejněném rozboru popsal také později nalezenou cestu bez přihlášení a uvedl vektor CVSS 3.1 odpovídající kritickému skóre 9,8. Nižší číslo v NVD proto nevystihuje celý scénář popsaný výrobcem.

Strapi uvádí jako zasažené verze od 3.2.1 do vydání před 4.8.0. Opravu této chyby vydalo ve verzi 4.8.0. Ve verzích 4.5.5 a starších lze chybu spojit s již známou CVE-2023-22621: po převzetí účtu superadministrátora může útočník dosáhnout spuštění kódu na serveru. Výrobce doporučuje při podezření na zneužití projít požadavky v provozních záznamech, zejména opakované filtrování polí s hesly a obnovovacími tokeny. Řada Strapi 3 opravu nedostala, protože její podpora skončila.

ONLYOFFICE Docs, v původním oznámení označený jako Document Server, obsahoval před verzí 5.6.3 chybu CVE-2021-3199 se skóre NVD CVSS 3.1 9,8. Při použití JWT lze prostřednictvím parametru nahrávání obrázku překročit povolený adresář a za popsaných podmínek dosáhnout vzdáleného spuštění kódu. Problém se týká serverové části služby, nikoli samotného otevření kancelářského dokumentu uživatelem. Poznámky výrobce k vydání potvrzují opravu zpracování cesty při nahrávání obrázků ve verzi 5.6.3.

Pátou chybou je CVE-2015-3306 v modulu mod_copy FTP serveru ProFTPD. Ve zranitelné verzi 1.3.5 může vzdálený útočník bez přihlášení zneužít příkazy SITE CPFR a SITE CPTO ke kopírování souborů, a tím k neoprávněnému čtení a zápisu. Hodnocení CISA-ADP zveřejněné v NVD je CVSS 3.1 10,0. Projekt opravil neautentizované kopírování ve verzi 1.3.5a; u distribučních balíčků je nutné ověřit opravu podle údajů konkrétní distribuce, která ji mohla zahrnout do vlastní verze balíčku.

Uvedené verze představují historická vydání s opravou konkrétní chyby, nikoli doporučený cílový stav pro dnešní provoz. Praktickým krokem je ověřit instalované komponenty včetně těch, které jsou součástí jiných aplikací či zařízení, a přejít na aktuálně podporované opravené vydání. U systémů, které byly zranitelné a dostupné útočníkům, má vedle aktualizace smysl prověřit známky předchozího zneužití: samotná instalace opravy případný dřívější průnik neodstraní.