Progress Software WhatsUp Gold -ohjelmistoon vaikuttava kriittinen tietoturva-aukko on joutunut aktiivisten hyökkäysten kohteeksi, mikä tekee välittömän päivityksen asentamisesta erittäin tärkeää. Haavoittuvuus, joka on merkitty tunnisteella CVE-2024-4885 ja jolla on korkea CVSS-pisteytys 9.8, on luvattoman etäkoodin suorituksen mahdollistava bugi, joka vaikuttaa kaikkiin verkonvalvontasovelluksen versioihin, jotka on julkaistu ennen versiota 2023.1.3.
Tietoturvayhtiö Progress Software julkaisi kesäkuun 2024 lopulla varoituksen, jossa todetaan, että WhatsUp.ExportUtilities.Export.GetFileWithoutZip-metodi mahdollistaa käskyjen suorittamisen iisapppool\nmconsole-oikeuksilla. Haavoittuvuus johtuu siitä, että GetFileWithoutZip-metodin toteutus ei validoi riittävästi käyttäjän syöttämiä polkuja ennen niiden käyttöä. Hyökkääjä voi hyödyntää tätä puutetta suorittaakseen koodia palvelutilin kontekstissa.
Tietoturvatutkija Sina Kheirkhah Summoning Teamistä on julkaissut konseptitodisteen (PoC) hyökkäyksestä, joka osoittaa, kuinka tätä haavoittuvuutta voidaan hyödyntää.
Suositus: Kaikkien käyttäjien, joilla on käytössä WhatsUp Gold -versio ennen versiota 2023.1.3, on välittömästi päivitettävä ohjelmisto uusimpaan versioon estääkseen tämän kriittisen haavoittuvuuden hyväksikäytön.
https://thehackernews.com/2024/08/critical-security-flaw-in-whatsup-gold.html
