CVE-2019-14224: تنفيذ التعليمات البرمجية عن بُعد بعد المصادقة في Alfresco Community

من خلال استغلال مكوّنات متعددة في تطبيقات Alfresco Software، لوحظت سلسلة استغلال تسمح للمهاجم بتحقيق تنفيذ التعليمات البرمجية عن بُعد. يجب على المهاجم استخدام Alfresco من أجل:

• رفع ملفات إعداد Solr الخبيثة إلى موقع معروف/قابل للاكتشاف
• إنشاء نواة Solr Core والتي ستؤدي إلى اتصال JMX من الضحية عائدًا إلى المهاجم
• استضافة خادم RMI خبيث سيرسل كائن Java خبيث يؤدي إلى إلغاء التسلسل وتنفيذ التعليمات البرمجية.

الإفصاح عن NVD:

يمكن العثور على الإفصاح عن هذه الثغرة الأمنية هنا.

المتطلبات:

تتطلب هذه الثغرة الأمنية:

• الوصول إلى وحدة تحكم إدارة Alfresco مع بيانات اعتماد مستخدم صالحة
• الوصول إلى Alfresco WebDAV أو Alfresco Share
• الوصول إلى واجهة Alfresco Solr

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.

معلومات إضافية:

يمكن الحصول على وصول غير مصادق إلى واجهة Alfresco Solr عبر CVE-2019-14222: شهادة افتراضية في Alfresco Community