Administrative Server in Micro Focus Host Access Management and Security Server (MSS) and Reflection for the Web (RWeb) and Reflection Secur

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• microfocus host access management and security server12.2
• microfocus host access management and security server12.3
• microfocus reflection for the web12.1
• microfocus reflection for the web12.2
• microfocus reflection for the web12.3
• microfocus reflection security gateway12.1
• microfocus reflection zfe1.4.0.14
• microfocus reflection zfe2.0.0.52
• microfocus reflection zfe2.0.1.18

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (microfocus). Не зависят от анализа CPE в NVD и обычно опережают его.

• n/a Micro Focus MSS, RWeb, ZFE, RSG 1.x, 2.x, 12.x

  • Micro Focus MSS, RWeb, ZFE, RSG 1.x, 2.x, 12.xзатронута

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.