NetGain EM Plus 10.1.68 Remote Code Execution via script_test.jsp

Deze RCE-kwetsbaarheid in NetGain EM Plus is zeer ernstig omdat aanvallers zonder authenticatie toegang kunnen krijgen tot het systeem en willekeurige code kunnen uitvoeren. Een succesvolle exploitatie kan leiden tot volledige controle over het getroffen systeem, inclusief data-exfiltratie, installatie van malware en het compromitteren van andere systemen in het netwerk. De mogelijkheid om commando's uit te voeren via de 'content' parameter in de script_test.jsp endpoint maakt de exploitatie relatief eenvoudig en verhoogt het risico op misbruik. Dit is vergelijkbaar met andere webapplicatie kwetsbaarheden waarbij POST-parameters worden misbruikt om code uit te voeren.

Organizations utilizing NetGain EM Plus for email management, particularly those running vulnerable versions 10.1.68–10.1.68, are at significant risk. Shared hosting environments where multiple users share the same server are especially vulnerable, as a compromised account could potentially be used to exploit this vulnerability.

• windows / other: Monitor NetGain EM Plus server logs for POST requests to script_test.jsp with unusual or suspicious content in the 'content' parameter. Use Sysinternals tools like Process Monitor to observe process creation and command-line arguments. • linux / server: Monitor system logs (e.g., /var/log/syslog, /var/log/auth.log) for unusual process executions or command-line activity related to the NetGain EM Plus installation directory. Use auditd to track file access and modifications. • generic web: Use curl or wget to test the script_test.jsp endpoint with a benign POST request and verify that it does not execute arbitrary commands. Examine response headers for unexpected content or errors.

1. 2026-03-11Disclosure

   disclosure

1. Gereserveerd2026-02-22
2. Gepubliceerd2026-03-11
3. Gewijzigd2026-04-07
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2019-25468 is het upgraden van NetGain EM Plus naar een beveiligde versie. Omdat er geen specifieke 'fixedin' versie is vermeld, is het raadzaam contact op te nemen met de leverancier voor de meest recente beveiligde versie. Als een upgrade momenteel niet mogelijk is, kan het implementeren van een Web Application Firewall (WAF) helpen om de scripttest.jsp endpoint te blokkeren of de POST-parameters te filteren om kwaadaardige input te voorkomen. Controleer ook de toegangsrechten tot de applicatie en beperk deze tot de minimaal noodzakelijke gebruikers.