OS Command Injection Remote Code Execution Vulnerability in Progress LoadMaster, ECS Connection Manager, Object Scale Connection Manager & MOVEit WAF
Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Um atacante pode executar comandos maliciosos nos dispositivos Progress LoadMaster sem fazer login, enviando requisições especialmente preparadas para a API. Isso permite controle total dos sistemas afetados.
Vulnerabilidade de injeção de comando de sistema operacional nos endpoints da API do Progress ADC causada por falta de sanitização de entrada. Atacantes não autenticados podem executar comandos de SO arbitrários por meio de payloads maliciosos em múltiplos endpoints de comando, alcançando execução remota de código com privilégios de sistema.