CVE-2019-15503

Vulnerability

El archivo cgi-cpn/xcoding/prontus_videocut.cgi en AltaVoz Prontus (ProntusCMS) a través de la versión 12.0.3.0 no neutraliza correctamente elementos especiales en los parámetros GET, permitiendo la inyección de comandos del sistema operativo. La vulnerabilidad afecta a las versiones desde la 11.2.101 hasta la 12.0.3.0, y posiblemente también a versiones anteriores [1].

Exploitation

Un atacante remoto, sin necesidad de autenticación previa, puede explotar esta vulnerabilidad enviando una solicitud HTTP GET con un parámetro manipulado que contenga comandos del sistema. No requiere interacción del usuario ni privilegios especiales. La prueba de concepto demostró la ejecución remota de comandos, lo que permite el control total del servidor [1].

Impact

El atacante obtiene ejecución remota de comandos en el servidor objetivo, con un puntaje CVSSv3 de 9.8 (Crítico). Esto puede llevar al acceso completo a datos, modificación de contenido y denegación de servicio. La vulnerabilidad compromete completamente la confidencialidad, integridad y disponibilidad del sistema [1].

Mitigation

El fabricante (AltaVoz) mitigó la vulnerabilidad el 21 de agosto de 2019 y el parche se encuentra disponible desde el 22 de agosto de 2019. Se recomienda a los usuarios actualizar a la versión más reciente o contactar al fabricante para obtener mayor información [1].