CVE-2022-36537

ZK Framework AuUploader

ВЫСОКАЯ ВЕРОЯТНОСТЬ
Дата обнаружения

2023-02-27

Официальное описание

ZK Framework AuUploader servlets contain an unspecified vulnerability that could allow an attacker to retrieve the content of a file located in the web context. The ZK Framework is an open-source Java framework. This vulnerability can impact multiple products, including but not limited to ConnectWise R1Soft Server Backup Manager.

🛡️
Технический анализ и план устранения

Суть уязвимости

CVE-2022-36537 представляет собой критическую уязвимость в компоненте AuUploader Java-фреймворка ZK Framework. Проблема связана с недостаточной фильтрацией входных данных в сервлетах, отвечающих за загрузку файлов.

Злоумышленник может отправить специально сформированный HTTP-запрос, который позволяет обойти ограничения доступа и прочитать произвольные файлы в контексте веб-приложения (Path Traversal / Arbitrary File Read). Это может привести к утечке чувствительной информации, такой как конфигурационные файлы, учетные данные базы данных или исходный код. Уязвимость получила широкую известность из-за ее эксплуатации в продуктах ConnectWise R1Soft Server Backup Manager.

Как исправить

Основным способом устранения является обновление ZK Framework до версий, в которых уязвимость была закрыта.

  1. Если вы используете ZK Framework напрямую, обновите библиотеку до одной из следующих версий (или выше):
  2. 9.6.4
  3. 9.6.3.1
  4. 9.5.1.3
  5. 9.0.1.3
  6. 8.6.4.2

  7. 8.5.2.2

  8. Если вы используете ConnectWise R1Soft Server Backup Manager (SBM), необходимо обновить SBM до версии 6.16.4 или выше.

Для Linux (Debian/Ubuntu):

apt-get update && apt-get install serverbackup-enterprise

Для Linux (RHEL/CentOS):

yum update serverbackup-enterprise

Для Windows: Скачайте актуальный установщик с официального портала ConnectWise и запустите обновление поверх текущей версии.

Временные меры

Если немедленное обновление невозможно, примените следующие защитные механизмы:

  1. Настройка Web Application Firewall (WAF): Настройте правила фильтрации для блокировки запросов к сервлету auUploader, содержащих подозрительные последовательности символов для обхода директорий (например, ../, ..%2f, ..%5c).

  2. Ограничение доступа на уровне сетевого экрана: Если интерфейс управления (например, R1Soft SBM) не должен быть доступен из публичной сети, ограничьте доступ к порту 80/443 только для доверенных IP-адресов или через VPN.

  3. Проверка целостности (для R1Soft): Проверьте наличие несанкционированных файлов в директории веб-сервера и изучите логи на предмет аномальных запросов к эндпоинту:

grep "auUploader" /var/log/serverbackup/access.log
Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей