Platform
python
Component
mss
Opgelost in
5.0.1
CVE-2024-25123 beschrijft een path manipulation kwetsbaarheid in de Mission Support System (MSS), een open-source pakket voor het plannen van atmosferische onderzoeks vluchten. Deze kwetsbaarheid stelt een aanvaller in staat om gevoelige informatie te verkrijgen door bestandspaden te manipuleren. De kwetsbaarheid treedt op in versie 5.0.0 en hoger, tot en met versie 8.3.2. Een fix is beschikbaar in versie 8.3.3.
De path manipulation kwetsbaarheid in MSS maakt het mogelijk voor een aanvaller om willekeurige bestanden op het systeem te lezen. Door de filename parameter te manipuleren met behulp van ../ sequences, kan de aanvaller de toegang tot bestanden buiten de beoogde directory omzeilen. Dit kan leiden tot de onthulling van gevoelige informatie, zoals configuratiebestanden, API-sleutels of andere vertrouwelijke gegevens. De impact is aanzienlijk, omdat een succesvolle exploitatie kan resulteren in een compromis van de gehele applicatie en mogelijk de onderliggende server. Het is vergelijkbaar met kwetsbaarheden waarbij onvoldoende validatie van gebruikersinvoer leidt tot ongeautoriseerde toegang tot bestanden.
Op dit moment is er geen publieke exploitatie van CVE-2024-25123 bekend. De kwetsbaarheid is openbaar gemaakt op 15 februari 2024. Er is geen vermelding op de CISA KEV catalogus. Er zijn geen publieke Proof-of-Concept (POC) exploits beschikbaar. De ernst van de kwetsbaarheid is beoordeeld als 'HIGH' met een CVSS score van 7.3, wat duidt op een aanzienlijk risico.
Organizations and researchers utilizing the Mission Support System for atmospheric flight planning are at risk. Specifically, deployments using older versions (5.0.0 through 8.3.2) are vulnerable. Those running the MSS in environments with limited access controls or where sensitive data is stored in accessible locations are at higher risk.
• python / application:
import os
import requests
url = 'http://target/index?file=../../../../etc/passwd' # Example path traversal attempt
response = requests.get(url)
if 'root:' in response.text:
print('Potential vulnerability detected!')• generic web:
curl 'http://target/index?file=../../../../etc/passwd' > output.txt && grep 'root:' output.txtdisclosure
Exploit Status
EPSS
0.22% (44% percentiel)
CVSS-vector
De primaire mitigatie voor CVE-2024-25123 is het upgraden van de Mission Support System (MSS) naar versie 8.3.3 of hoger. Deze versie bevat de benodigde correcties om de path manipulation kwetsbaarheid te verhelpen. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strenge inputvalidatie op de filename parameter. Dit kan worden bereikt door alle ../ sequences te verwijderen of te vervangen. Daarnaast kan het configureren van een Web Application Firewall (WAF) met regels die pogingen tot path traversal detecteren en blokkeren, helpen om de risico's te verminderen. Na de upgrade, controleer de toegangsrechten van bestanden en directories om te verzekeren dat alleen geautoriseerde gebruikers toegang hebben.
Actualice el paquete MSS a la versión 8.3.3 o superior. Esto corrige la vulnerabilidad de manipulación de ruta. Puede actualizar usando `pip install --upgrade mss`.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-25123 is a HIGH severity vulnerability affecting Mission Support System versions 5.0.0 through 8.3.2. It allows attackers to manipulate file paths to access sensitive information.
You are affected if you are using Mission Support System versions 5.0.0 through 8.3.2. Upgrade to version 8.3.3 to resolve the vulnerability.
Upgrade to version 8.3.3 of Mission Support System. As a temporary workaround, implement input validation on the filename parameter to prevent path traversal.
There are currently no known public exploits or active campaigns targeting CVE-2024-25123, but its ease of exploitation warrants attention.
Refer to the official Mission Support System project repository and associated security advisories for the latest information on CVE-2024-25123.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.