SysmonElixir padtraversering in /read endpoint maakt willekeurig bestandslezen mogelijk

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot gevoelige systeembestanden. In de kwetsbare versies kan een aanvaller via de /read endpoint bestanden lezen, waaronder potentieel de /etc/passwd file, wat gebruikersnamen en gehashte wachtwoorden kan onthullen. Dit kan leiden tot verdere compromittering van het systeem, zoals het verkrijgen van shell-toegang of het uitvoeren van kwaadaardige code. De impact is aanzienlijk, aangezien de kwetsbaarheid eenvoudig te exploiteren is en de potentiële schade groot is.

Systems running SysmonElixir in production environments, particularly those with exposed HTTP endpoints, are at risk. Shared hosting environments where SysmonElixir is deployed alongside other applications are also vulnerable, as a compromise of SysmonElixir could potentially lead to broader system compromise.

• linux / server: Monitor SysmonElixir logs for unusual file access attempts to /etc/passwd or other sensitive system files. Use journalctl -u sysmon_elixir to review logs.

journalctl -u sysmon_elixir | grep '/etc/passwd'

• generic web: Use curl to test the /read endpoint with various path traversal payloads (e.g., /read/../etc/passwd).

curl 'http://<sysmon_elixir_ip>/read/../etc/passwd'

1. 2025-06-24Disclosure

   disclosure

1. Gereserveerd2025-06-18
2. Gepubliceerd2025-06-24
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het updaten van SysmonElixir naar versie 1.0.1 of hoger. Deze versie bevat een whitelist die het lezen van bestanden beperkt tot de /priv/data directory. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) of proxy om de /read endpoint te blokkeren of te beperken tot vertrouwde bronnen. Controleer ook de configuratie van SysmonElixir om er zeker van te zijn dat er geen onnodige bestanden toegankelijk zijn via de HTTP interface.