Présentation

Il est possible d’exécuter des commandes arbitraires sur le système d’exploitation pour un utilisateur d’EON ayant les droits suffisant pour utiliser le module d’AutoDiscovery. Le champ ‘Target’ n’est pas filtré et il est possible d’exécuter des commandes arbitraires. La commande id est exploitable sur le système : ;id #

Exploitation

EONRCEv1

Versions concernée(s)

EON 5.3-0

Versions patchées

EON 5.3-1

Correction

Télécharger la dernière version d’EON patchée.

Liens relatifs

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8654

http://packetstormsecurity.com/files/156266/EyesOfNetwork-5.3-Remote-Code-Execution.html

http://packetstormsecurity.com/files/156605/EyesOfNetwork-AutoDiscovery-Target-Command-Execution.html

https://github.com/EyesOfNetworkCommunity/eonweb/issues/50