CVE-2025-25181

Суть уязвимости

CVE-2025-25181 представляет собой критическую уязвимость типа SQL Injection (SQLi) в компоненте timeoutWarning.asp продукта Advantive VeraCore. Проблема заключается в недостаточной фильтрации входных данных, передаваемых через параметр PmSess1.

Дистанционный неавторизованный злоумышленник может внедрить произвольные SQL-команды в запрос к базе данных. Это позволяет: * Получить полный доступ к конфиденциальным данным (PII, финансовая информация). * Изменить или удалить записи в базе данных. * В некоторых конфигурациях — выполнить системные команды на сервере БД (например, через xp_cmdshell).

Как исправить

Основным способом устранения является установка официального патча от производителя Advantive.

1. Свяжитесь с технической поддержкой Advantive для получения актуального обновления безопасности, исправляющего обработку параметра PmSess1 в файле timeoutWarning.asp.
2. Перед установкой создайте резервную копию базы данных и критических файлов веб-сервера.
3. Примените обновление в тестовой среде, чтобы убедиться в отсутствии регрессий в логике сессий.
4. После установки патча на продуктивную среду проверьте версию файла:

Get-Item -Path "C:\inetpub\wwwroot\VeraCore\timeoutWarning.asp" | Select-Object VersionInfo

Временные меры

Если немедленное обновление невозможно, необходимо внедрить компенсирующие меры контроля на уровне сетевого периметра и конфигурации сервера.

1. Настройка WAF (Web Application Firewall): Создайте правило для блокировки подозрительных символов в параметре PmSess1. Пример регулярного выражения для поиска SQL-инъекций:

(?i)(PmSess1=.*(['";]|--|union|select|insert|update|delete|drop|exec))

1. Ограничение доступа по IP: Если доступ к панели управления не требуется из внешнего интернета, ограничьте доступ к директории приложения только доверенными IP-адресами через IIS IP Address and Domain Restrictions.

2. Принцип минимальных привилегий для БД: Убедитесь, что учетная запись, от имени которой работает веб-приложение с базой данных, не имеет прав sysadmin или db_owner.

REVOKE CONNECT FROM [app_user];
GRANT CONNECT TO [app_user];
-- Назначьте только необходимые разрешения на уровне таблиц/схем

1. Блокировка доступа к конкретному файлу: Если функционал предупреждения о таймауте не является критическим, временно запретите доступ к timeoutWarning.asp в конфигурации IIS (web.config):

<configuration>
  <location path="timeoutWarning.asp">
    <system.webServer>
      <security>
        <authorization>
          <add accessType="Deny" users="*" />
        </authorization>
      </security>
    </system.webServer>
  </location>
</configuration>