Progress Software đang kêu gọi người dùng cập nhật các phiên bản Telerik Report Server của họ sau khi phát hiện ra một lỗ hổng bảo mật nghiêm trọng có thể dẫn đến việc thực thi mã từ xa.
Lỗ hổng, được theo dõi là CVE-2024-6327 (điểm CVSS: 9.9), ảnh hưởng đến Report Server phiên bản 2024 Q2 (10.1.24.514) trở về trước.
"Trong các phiên bản Telerik Report Server đang được tiến hành trước quý 2 năm 2024 (10.1.24.709), một cuộc tấn công thực thi mã từ xa có thể xảy ra thông qua lỗ hổng deserialization không an toàn", công ty cho biết trong một lời khuyên.
Lỗi deserialization xảy ra khi một ứng dụng xây dựng lại dữ liệu không đáng tin cậy mà kẻ tấn công có quyền kiểm soát mà không có xác nhận đầy đủ tại chỗ, dẫn đến việc thực hiện các lệnh trái phép.
Progress Software cho biết lỗ hổng đã được giải quyết trong phiên bản 10.1.24.709. Để giảm thiểu tạm thời, bạn nên thay đổi người dùng cho Nhóm ứng dụng máy chủ báo cáo thành một người dùng có quyền hạn chế.
Quản trị viên có thể kiểm tra xem máy chủ của họ có dễ bị tấn công hay không bằng cách thực hiện các bước sau:
- Đi tới giao diện người dùng web Máy chủ báo cáo và đăng nhập bằng tài khoản có quyền quản trị viên
- Mở trang Cấu hình (~/Configuration/Index).
- Chọn tab Giới thiệu và số phiên bản sẽ được hiển thị trong ngăn bên phải.
Tiết lộ được đưa ra gần hai tháng sau khi công ty vá một thiếu sót nghiêm trọng khác trong cùng một phần mềm (CVE-2024-4358, điểm CVSS: 9.8) có thể bị kẻ tấn công từ xa lạm dụng để vượt qua xác thực và tạo người dùng quản trị viên giả mạo.