Execution de commandes arbitraires sur le module AutoDiscovery

[h4knet]

Bonjour,
Il est possible d’exécuter des commandes arbitraires sur le système d'exploitation pour un utilisateur d'EON ayant les droits suffisant pour utiliser le module d'AutoDiscovery.

Le champ 'Target' n'est pas filtré est il est possible d’exécuter des commandes arbitraires.
Voici un exemple de valeur de Target éxécutant la command id sur le système:
;id #

Résultat obtenu:

Ceci a été testé sur une installation de EON 5.3 classique téléchargée à partir du site officiel.

[davoult]

@h4knet Bien vu !

Merci pour ce retour. Nous corrigeons ce point.

[h4knet]

Bonjour, Voici la CVE associée : CVE-2020-8654
Référence NIST : https://nvd.nist.gov/vuln/detail/CVE-2020-8654
Score CVSSv3 : 8.8

[Julien1498]

Bonjour,
Le correctif est disponible dans le repository lilac commit id: 1c27cc6
EyesOfNetworkCommunity/lilac@1c27cc6