Descrizione
Libraesva ESG è affetto da una falla di command injection che può essere attivata da un'e-mail dannosa contenente un allegato compresso appositamente creato, consentendo la potenziale esecuzione di comandi arbitrari come utente non privilegiato. Questo si verifica a causa di una sanificazione impropria durante la rimozione del codice attivo dai file contenuti in alcuni formati di archivio compresso.
La vulnerabilità interessa le versioni di Libraesva ESG a partire dalla versione 4.5.
Per ESG 5.0 è stata rilasciata una correzione nella 5.0.31
Per ESG 5.1 è stata rilasciata una correzione nella 5.1.20
Per ESG 5.2 è stata rilasciata una correzione nella 5.2.31
Per ESG 5.3 è stata rilasciata una correzione nella 5.3.16
Per ESG 5.4 è stata rilasciata una correzione nella 5.4.8
Per ESG 5.5 è stata rilasciata una correzione nella 5.5.7
Le correzioni sono state rilasciate tramite il canale di aggiornamenti automatici.
Le versioni inferiori alla 5.0 sono EOS e devono essere aggiornate manualmente.
Clienti Libraesva cloud
Tutte le appliance su Libraesva cloud sono state aggiornate all'ultima versione contenente la correzione. Non è richiesta alcuna ulteriore azione.
Clienti Libraesva on-premise
Tutte le appliance on-premise con versioni 5.X sono state aggiornate automaticamente all'ultima versione contenente la correzione, come confermato dai nostri dati di telemetria.
I clienti on-premise con appliance in versione 5.X possono verificare la versione attualmente installata nella dashboard di amministrazione.
I clienti on-premise con versioni 4.X, che sono in End Of Support, devono
eseguire manualmente l'aggiornamento alla 5.x.
Panoramica della vulnerabilità
Meccanismo di attivazione
Un attaccante può sfruttare questa falla inviando un'e-mail che contiene un archivio compresso appositamente creato. La vulnerabilità viene attivata solo con formati di archivio specifici. All'interno dell'archivio, i file payload sono costruiti per manipolare la logica di sanificazione dell'applicazione, sfruttando una sanificazione impropria dei parametri di input.
Impatto
Una volta ottenuto il bypass della sanificazione, l'attaccante può eseguire comandi shell arbitrari con un account utente non privilegiato.
Sfruttamento noto
È stato identificato un incidente confermato di abuso. Si ritiene che l'attore della minaccia sia un'entità statale ostile straniera.
Tempistiche di remediation
Dalla scoperta al deployment della correzione: 17 ore
Azione di remediation: Libraesva ha rilasciato una patch automatica di emergenza per tutte le installazioni ESG 5.x (sia cloud che on-premise).
Contenuti della patch:
- Correzione principale per risolvere la falla di sanificazione.
- Scansione automatizzata per gli indicatori di compromissione (IoC).
- Modulo di self-assessment che viene eseguito su tutte le appliance interessate (cloud e on-premise) per verificare l'integrità della patch e rilevare minacce residue.
Il focus su una singola appliance sottolinea la precisione dell'attore della minaccia (ritenuto uno stato ostile straniero) ed evidenzia l'importanza di un deployment delle patch rapido e completo.