ThingLinksに認証後のコード実行脆弱性、1.4.0で修正
Summary
IoT基盤ThingLinksの1.4.0より前に、ログインできる利用者がサーバー上で任意のコードを実行できる脆弱性があります。運用している組織は1.4.0へ更新し、アクセスできる利用者の範囲も見直してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
IoT基盤ThingLinksの1.4.0より前に、ログインできる利用者がサーバー上で任意のコードを実行できる脆弱性があります。運用している組織は1.4.0へ更新し、アクセスできる利用者の範囲も見直してください。
Original description The description as published by the source.
ThingLinks is an enterprise IoT platform. Prior to 1.4.0, the /groovyScriptTest/registerScript endpoint accepts user-supplied Groovy script content and passes it to an unsandboxed Groovy compilation and loading flow. An authenticated attacker can provide code that is compiled and instantiated on the server, resulting in arbitrary server-side code execution. The issue affects the rule engine's Groovy script test/register flow. This issue is fixed in version 1.4.0.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com