PT-2025-47481
CVE-2025-34332
·
تاريخ النشر
2025-11-19
·
تاريخ التحديث
2025-12-11
الوصف من
CVSS 4.0
8.5
عاليةالمقاييسAV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
أجهزة AudioCodes Fax Server و Auto-Attendant IVR حتى الإصدار 2.6.23 بما في ذلك
الوصف
يتحكم مكون الإدارة عبر الويب في البرنامج في خدمات Windows باستخدام نصوص برمجية دفعية موجودة في
C:F2MAdminF2EAudioCodes filesutilsServices. يتم استدعاء هذه البرامج النصية بواسطة PHP باستخدام الدالة system() تحت حساب NT AUTHORITYSYSTEM عندما تُطلب إجراءات خدمة معينة عبر نقطة النهاية ajaxPost.php. تسمح قوائم التحكم في الوصول (ACLs) المفرطة في السماح لأي مستخدم محلي تمت مصادقته بتعديل محتوى هذه البرامج النصية. من خلال استبدال محتوى البرنامج النصي بأوامر تعسفية، يمكن للمهاجم الحصول على تصعيد امتيازات محلية عندما يتم تنفيذ البرنامج النصي المعدل بصفة SYSTEM أثناء عمليات بدء تشغيل الخدمة أو إيقافها.التوصيات
يجب استخدام الإصدارات الأقدم من 2.6.23.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾