Специалисты Positive Technologies Алексей Соловьев и Ян Чижевский выявили множественные уязвимости в NetCat CMS. Суммарно было найдено 23 уязвимости (BDU:2024-06382 — BDU:2024-06404) с оценками от 8,1 до 9,1 балла по шкале CVSS 3.0, что соответствует высокой и критической степени серьезности.
Согласно официальным данным компании-разработчика NetCat CMS, на этой системе управления сайтами работает более 15 000 ресурсов. Также исследователи отмечают, что продукт входит в реестр программного обеспечения Минцифры.
«Мы обнаружили возможность проведения атак с использованием межсайтового скриптинга (XSS) в различных модулях NetCat CMS. Это могло бы позволить злоумышленнику провести XSS-атаку на администратора системы и задействовать легитимный набор функций CMS, чтобы выполнить произвольный код на сервере, получить доступ к исходному коду приложения, базе данных и закрепиться для последующих атак на компанию — владельца системы. Кроме того, нами были найдены уязвимости внедрения SQL-кода, в частности BDU:2024-06394. NetCat CMS позволяет пользователям создавать динамические права, поэтому атакующий, имеющий доступ к уязвимому модулю, мог бы повысить свои привилегии и получить полный доступ к базе данных для дальнейшего развития атаки», — рассказывает Алексей Соловьев, руководитель группы экспертизы отдела анализа защищенности веб-приложений, Positive Technologies.
По оценкам экспертов, осенью 2024 года число уязвимых и доступных через интернет установок NetCat CMS составляло более 200. Большинство из них были расположены в России (92,9%).
Специалисты уведомили производителя об угрозе в рамках политики ответственного разглашения информации об уязвимостях, после чего уже было выпущено обновление ПО. Теперь пользователям NetCat CMS рекомендуется установить версию 7.0 или выше, где проблемы уже исправлены.
