CVE-2024-13981
Vulnérabilité critique dans LiveBOS (Fujian Apex Software Co. Ltd.)
Description
LiveBOS, an object-oriented business architecture middleware suite developed by Apex Software Co., Ltd., contains an arbitrary file upload vulnerability in its UploadFile.do;.js.jsp endpoint. This flaw affects the LiveBOS Server component and allows unauthenticated remote attackers to upload crafted files outside the intended directory structure via path traversal in the filename parameter. Successful exploitation may lead to remote code execution on the server, enabling full system compromise. The vulnerability is presumed to affect builds released prior to August 2024 and is said to be remediated in newer versions of the product, though the exact affected range remains undefined. Exploitation evidence was first observed by the Shadowserver Foundation on 2024-08-23 UTC.
Gravité et risque d'exploitation
CVE-2024-13981 obtient un score CVSS de 10.0/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.90 %, ce qui la place devant 58.9 % des CVE référencées.
Que faire ?
- Vérifiez si LiveBOS (versions <=pre-August 2024 builds, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://cn-sec.com/archives/3041179.html
- https://axsec.blog.csdn.net/article/details/140847466
- https://github.com/folio2008/POC_wy876/blob/main/LiveBOS/%E7%81%B5%E5%8A%A8%E4%B8%9A%E5%8A%A1%E6%9E%B6%E6%9E%84%E5%B9%B3%E5%8F%B0%28LiveBOS%29%E7%B3%BB%E7%BB%9FUploadFile.do%E6%8E%A5%E5%8F%A3%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%28XVE-2023-21708%29.md
- https://blog.csdn.net/weixin_53009585/article/details/140853891
- https://blog.csdn.net/jingke666/article/details/140855251
- https://www.apexsoft.com.cn/platform/index.html
- https://www.vulncheck.com/advisories/livebos-uploadfile-arbitrary-file-upload