Hyland Alfresco Transformation Service Injection d'argument RCE

Cette vulnérabilité RCE (Remote Code Execution) est extrêmement critique car elle permet à un attaquant non authentifié de prendre le contrôle total du serveur exécutant le service Alfresco Transformation Service. L'attaquant peut exécuter des commandes arbitraires, accéder à des données sensibles, modifier des fichiers et potentiellement se déplacer latéralement vers d'autres systèmes du réseau. L'impact est amplifié par le fait que l'exploitation ne nécessite aucune authentification, rendant le système vulnérable à des attaques provenant de sources externes. Une exploitation réussie pourrait entraîner une compromission complète du système et une perte de confidentialité, d'intégrité et de disponibilité des données.

Organizations utilizing Alfresco Transformation Service in production environments, particularly those with exposed document processing endpoints, are at significant risk. Environments with weak access controls or inadequate input validation are especially vulnerable. Shared hosting environments where multiple users share the same Alfresco instance are also at increased risk.

• java / server:

ps -ef | grep TransformationService

• java / server:

journalctl -u TransformationService | grep -i "argument injection"

• generic web:

curl -I <alfresco_transformation_service_url>/processDocument

• generic web:

 grep -i "argument injection" /var/log/apache2/access.log

1. 2026-02-19Disclosure

   disclosure

1. Réservé2026-02-13
2. Publiée2026-02-19
3. Modifiée2026-02-20
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Alfresco Transformation Service vers la version 5.2.4 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de désactiver temporairement la fonctionnalité de traitement de documents ou de restreindre l'accès au service Transformation Service. En attendant la mise à jour, une solution de contournement pourrait consister à implémenter des règles strictes de validation des entrées pour les arguments utilisés dans le traitement des documents, afin de prévenir l'injection de commandes malveillantes. Après la mise à jour, vérifiez l'intégrité du système en effectuant un test de pénétration pour confirmer que la vulnérabilité a été corrigée.