NoviGest Desktop Appに認証なしでOSコマンド実行の脆弱性
Summary
NoviGest Desktop Appに、認証なしで呼び出せる機能を経由してサーバー上のOSコマンドを実行されるおそれのある脆弱性が見つかりました。このアプリを社内で運用している組織が対象です。まず利用状況を洗い出してサービスに届く経路を絞り、修正版の有無をベンダーの告知で確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
NoviGest Desktop Appに、認証なしで呼び出せる機能を経由してサーバー上のOSコマンドを実行されるおそれのある脆弱性が見つかりました。このアプリを社内で運用している組織が対象です。まず利用状況を洗い出してサービスに届く経路を絞り、修正版の有無をベンダーの告知で確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Tactis | NoviGest Desktop App | — | — |
Original description The description as published by the source.
Vulnerability due to a lack of authentication in critical functions of the NoviGest Desktop App's Java RMI service. An attacker with network access to the service can invoke remote methods without authentication, obtain sensitive credentials, and execute arbitrary SQL queries on PostgreSQL. The elevated privileges of the database account allow these capabilities to be chained together to execute operating system commands on the server, compromising its confidentiality, integrity, and availability.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web cve-coordination@incibe.es
- web nvd.nist.gov
- web github.com