Une faille de sécurité critique a été révélée dans Fortra FileCatalyst Workflow qui, si elle n’est pas corrigée, pourrait permettre à un attaquant de falsifier la base de données de l’application.
Identifiée comme CVE-2024-5276, cette vulnérabilité a un score CVSS de 9,8. Elle affecte les versions 5.1.6 Build 135 et antérieures de FileCatalyst Workflow. Elle a été corrigée dans la version 5.1.6 build 139.
« Une vulnérabilité d’injection SQL dans Fortra FileCatalyst Workflow permet à un attaquant de modifier les données de l’application », Fortra dit dans un avis publié mardi. « Les impacts probables incluent la création d’utilisateurs administratifs et la suppression ou la modification de données dans la base de données de l’application. »
Il a également souligné qu’une exploitation non authentifiée réussie nécessite un système Workflow avec un accès anonyme activé. Alternativement, un utilisateur authentifié peut également en abuser.
Les utilisateurs qui ne peuvent pas appliquer les correctifs immédiatement peuvent désactiver les servlets vulnérables – csv_servlet, pdf_servlet, xml_servlet et json_servlet – dans le fichier « web.xml » situé dans le répertoire d’installation d’Apache Tomcat comme solutions de contournement temporaires.
La société de cybersécurité Tenable, qui a signalé la faille le 22 mai 2024, a depuis publié un exploit de preuve de concept (PoC) pour la faille.
« Un jobID fourni par l’utilisateur est utilisé pour former la clause WHERE dans une requête SQL », dit. « Un attaquant distant anonyme peut exécuter SQLi via le paramètre JOBID dans divers points de terminaison d’URL de l’application Web de workflow. »