Fortra bu hafta bir güncelleme yayınladı. kritik bir güvenlik açığı Bu ilk olarak Ağustos 2023'te keşfedildi.
CVE-2024-25153 olarak takip edilen ve kritik CVSS puanı 9,8 olan güvenlik açığı, şirketin FileCatalyst dosya aktarım ürünü için tehdit oluşturuyor. Şirkete göre bu, “büyük dosyaların yüksek gecikme veya paket kaybı yaşayan uzak ağlar üzerinden aktarılmasına” olanak tanıyan bir yazılım türüdür.
Kimliği doğrulanmamış bir tehdit aktörünün etkilenen sunucularda uzaktan rastgele kod yürütmesi durumunda bu güvenlik açığından yararlanılabilir.
“FileCatalyst İş Akışı Web Portalının 'ftpservlet'i içindeki bir dizin geçişi, dosyaların özel hazırlanmış bir POST isteği ile amaçlanan 'uploadtemp' dizininin dışına yüklenmesine olanak tanır.” Fortra tavsiyesinde şunları söyledi:. “Bir dosyanın web portalının DocumentRoot'una başarıyla yüklendiği durumlarda, web kabukları da dahil olmak üzere kodu yürütmek için özel hazırlanmış JSP dosyaları kullanılabilir.”
Fortra, aylar önce bildirildiğinden bu yana hatanın farkında olmasına rağmen, güvenlik açığını ilk olarak bildiren kişinin talebi üzerine şimdi bir CVE yayınlıyor.
Fortra, bu hatadan etkilenen ürünlerin Fortra FileCatalyst Workflow 5.x yazılımı olduğunu bildiriyor ve sorunu düzeltmek için 5.1.6 Build 114 veya daha üst bir sürüme yükseltme yapılmasını öneriyor.