Tyler Technologies ERP Pro 9 SaaS позволяет авторизованному пользователю выйти за пределы приложения и выполнить ограниченные команды опера…
Tyler Technologies ERP Pro 9 SaaS позволяет авторизованному пользователю выйти за пределы приложения и выполнить ограниченные команды операционной системы Microsoft Windows с правами авторизованного пользователя. Tyler Technologies развернула настройки жесткого удаленного окружения Windows для всех клиентских окружений ERP Pro 9 SaaS по состоянию на 01.08.2025 [1]. Источники: - [1] https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2025/va-25-219-01.json - [2] https://www.cve.org/CVERecord?id=CVE-2025-55077
Продукт выполняет операцию с уровнем привилегий выше минимально необходимого, что порождает новые слабости или усугубляет последствия существующих.
https://cwe.mitre.org/data/definitions/250.html →Открыть в коллекции CWE →Данная атака направлена на программы, работающие с повышенными привилегиями. Злоумышленник пытается использовать уязвимость в выполняемой программе и добиться выполнения произвольного кода с повышенными привилегиями.
https://capec.mitre.org/data/definitions/69.html →Открыть в коллекции CAPEC →Злоумышленник вынуждает жертву загрузить в браузер содержимое, обходящее средства контроля зон безопасности, и получает повышенные привилегии для выполнения сценариев или иных веб-объектов, таких как неподписанные элементы управления ActiveX или апплеты. Это атака с повышением привилегий, направленная против механизма зональной безопасности веб-браузера.
https://capec.mitre.org/data/definitions/104.html →Открыть в коллекции CAPEC →Злоумышленник использует доступ к базе данных для чтения и записи данных в файловую систему, компрометации операционной системы, создания туннеля для доступа к хост-машине и дальнейшего возможного использования этого доступа для атак на другие машины в той же сети, что и машина базы данных. Традиционно SQL-инъекции рассматриваются как способ получения несанкционированного доступа к хранимым в базе данных, изменения, удаления данных и т. д. Однако практически каждая система управления базами данных (СУБД) включает средства, компрометация которых даёт злоумышленнику полный доступ к файловой системе, операционной системе и хост-машине, на которой работает база данных. Злоумышленник может затем использовать этот привилегированный доступ для проведения последующих атак. К таким средствам относятся: вызов командного интерпретатора, создание пользовательских функций, обращающихся к системным библиотекам хост-машины, хранимые процедуры и другие.
https://capec.mitre.org/data/definitions/470.html →Открыть в коллекции CAPEC →