В сетевом продукте Riverbed обнаружены 4 критические уязвимости

Сингапурская команда ИБ-экспертов Cyber Security Group обнаружила в общей сложности семь опасных уязвимостей в сетевом программном обеспечении компании Riverbed, четыре из которых оказались критическими (CVE-2021-42786, CVE-2021-42787, CVE-2021-42853 и CVE-2021-42854), сообщает SecurityLab.

Уязвимым ПО является SteelCentral AppInternals (ранее называлось AppInternals Xpert) для мониторинга и диагностики производительности приложений. Клиенты обычно используют данное ПО в центрах обработки данных и на облачных серверах для сбора информации о производительности, трассировках транзакций и пр.

В частности, уязвимый код находится в агенте динамической выборки, который является компонентом сбора AppInternals. Проблема затрагивает версии ПО 10.x, версии до 12.13.0 и версии до 11.8.8.

Критические уязвимости получили оценки в 9,8, 9,4, 9,1 и 9,8 балла соответственно из 10 по шкале CVSS. Эксплуатация самой опасной из проблем позволяет неавторизованному пользователю удаленно внедрить и запустить вредоносный код на системе жертвы.

CVE-2021-42786 — уязвимость удаленного выполнения кода в API программного обеспечения, связанная с отсутствием надлежащей проверки входных данных URL-пути. CVE-2021–42787 представляет собой уязвимость отсутствия надлежащей проверки ввода имени файла, позволяющую злоумышленникам использовать такие символы, как «../», в качестве имени. Эксплуатация уязвимости может привести к потенциальному обходу каталога и несанкционированному доступу к ограниченным ресурсам. CVE-2021-42853 и CVE-2021-42854 также представлены уязвимостями каталогов в конечных точках API.

Эксперты сообщили Riverbed о своих находках, и компания выпустила исправления для обнаруженных уязвимостей. Пользователям программного обеспечения от Riverbed настоятельно рекомендуется обновиться до последней версии.