در وب سرور Litespeed Technologies Openlitespeed آسیب پذیری تزریق فرمان با شناسه CVE-2022-0073 و آسیب پذیری مسیر جستجوی نامعتبر (Untrusted Search Path) با شناسه CVE-2022-0074 با شدت 8.8 از 10 و درجه خطر High (بالا) یافت شده است.
CVE-2022-0073 :
اعتبار سنجی نادرست ورودی در این وب سرور امکان تزریق فرمان (Command Injection) را میدهد. یک عامل تهدید که بتواند اعتبار داشبورد را به دست آورد، چه با حملات brute force یا مهندسی اجتماعی، می تواند از این آسیب پذیری برای اجرای کد روی سرور سوء استفاده کند. این آسیب‌پذیری در قسمت External App Command وجود دارد که به کاربران اجازه میدهد فرمانی را مشخص کنند تا هنگام راه‌اندازی سرور اجرا شود. این آسیب پذیری برروی نسخه‌های 1.7.0 قبل از 1.7.16.1 تاثیر می‌گذارد و برای جلوگیری از حملات احتمالی پیشنهاد میگردد تا نسخه‌های بالاتر بروزرسانی انجام شود.
CVE-2022-0074:
این آسیب پذیری تحت تأثیر آسیب پذیری دیگری از یک تابع ناشناخته از مولفه ی Web Server Container است. برنامه با استفاده از یک مسیر جستجوی ارائه شده خارجی که می تواند به منابعی اشاره کند که تحت کنترل مستقیم برنامه نیستند، منابع حیاتی را جستجو می کند. به عنوان یک تأثیر شناخته شده است که بر محرمانگی، یکپارچگی و در دسترس بودن تأثیر می گذارد. این آسیب پذیری برروی نسخه‌های 1.6.15 قبل از 1.7.16.1 تاثیر می‌گذارد و برای جلوگیری از حملات احتمالی پیشنهاد میگردد تا نسخه‌های بالاتر بروزرسانی انجام شود.
منابع
https://nvd.nist.gov/vuln/detail/CVE-2022-0074
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0073
https://nvd.nist.gov/vuln/detail/CVE-2022-0073
- 185