CVE-2022-29597: RSS v500 में स्थानीय फ़ाइल समावेशन

सॉल्यूशंस अटलांटिक द्वारा RRS v500 एप्लिकेशन में स्थानीय फ़ाइल समावेशन (LFI) कमजोरी मौजूद है। कोई भी प्रमाणित उपयोगकर्ता /RRSWeb/maint/ShowDocument/ShowDocument.aspx पृष्ठ पर किए गए अनुरोधों में आंतरिक सिस्टम फ़ाइलों को संदर्भित कर सकता है। सर्वर अनुरोधित आंतरिक सिस्टम फ़ाइल की सामग्री के साथ सफलतापूर्वक प्रतिक्रिया देगा। यह क्षमता विरोधियों को अंतर्निहित फ़ाइल सिस्टम से संवेदनशील डेटा और/या फ़ाइलें निकालने, सिस्टम के आंतरिक कार्यों के बारे में जानकारी प्राप्त करने या एप्लिकेशन के स्रोत कोड तक पहुंचने की अनुमति दे सकती है।

Mitre URL: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29597

NIST URL: https://nvd.nist.gov/vuln/detail/CVE-2022-29597

प्रमाण की अवधारणा (POC):

दस्तावेज़ दिखाएँ कार्यक्षमता:

प्रभावित URL:

• /RRSWeb/maint/ShowDocument/ShowDocument.aspx

RRS साइट से PDF खोलते या डाउनलोड करते समय, प्रभावित URL पर एक अनुरोध किया जाता है जिसमें fileName पैरामीटर शामिल होता है। इस पैरामीटर को संशोधित करके एक आंतरिक सिस्टम पथ, जैसे , शामिल किया जा सकता है। सर्वर तब अनुरोधित फ़ाइल प्रस्तुत करेगा।