CVE-2021-32512: falha crítica em QSAN Storage Manager
QSAN Storage Manager - Command Injection Following via QuickInstall function
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O QuickInstall do QSAN Storage Manager não filtra parâmetros corretamente, permitindo que atacantes não autenticados executem qualquer comando no servidor. Um invasor pode explorar isso enviando requisições especiais para assumir controle total do sistema de armazenamento.
A função QuickInstall no QSAN Storage Manager não sanitiza adequadamente parâmetros fornecidos pelo usuário, possibilitando injeção de comandos do sistema operacional (CWE-78). Atacantes remotos não autenticados podem injetar comandos arbitrários através de parâmetros não filtrados; a exploração requer acesso à rede pela interface vulnerável. A execução bem-sucedida resulta em execução de comandos do sistema com os privilégios do serviço afetado.
No mesmo produto, das mais perigosas para as menos.