Aktywnie wykorzystywana w atakach
Sitecore XP Remote Command Execution Vulnerability
Sitecore — XP · Figuruje w katalogu CISA KEV od 2022-03-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-42237
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 — wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność w Sitecore XP od wersji 7.5 do 8.2 Update-7 umożliwia zdalne wykonanie kodu poprzez niezabezpieczoną deserializację. Atak nie wymaga uwierzytelnienia ani specjalnej konfiguracji.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne, ponieważ atakujący może przejąć kontrolę nad serwerem bez żadnych uprawnień, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Należy natychmiast zaktualizować Sitecore XP do wersji 8.2 Update-8 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Sitecore XP 7.5 Initial Release to Sitecore XP 8.2 Update-7 is vulnerable to an insecure deserialization attack where it is possible to achieve remote command execution on the machine. No authentication or special configuration is required to exploit this vulnerability.