BDU:2023-04476 (CVE-2023-26436) — уязвимость реализации прикладного программного интерфейса пакета программ OX App Suite

По данным БДУ ФСТЭК России, по состоянию на 07.02.2025.

Критический — 9.6/10 Устранена

Уязвимость реализации прикладного программного интерфейса пакета программ OX App Suite связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально созданного запроса

Кого касается и что делать

Уязвимое ПО: OX App Suite office (Open-Xchange) — версии до 7.10.6-rev8
Что делать: уязвимость устранена производителем — применить исправления: software.open-xchange.com

Сведения об уязвимости

Идентификаторы	BDU:2023-04476 · CVE-2023-26436
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.6; CVSS 2.0 — 8.3)
Вектор CVSS 3.1	AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H атака из смежной сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость реализации прикладного программного интерфейса пакета программ OX App Suite, позволяющая нарушителю выполнить произвольный код с помощью специально созданного запроса
Даты	Опубликована: 07.08.2023 · Обновлена ФСТЭК: 07.02.2025 · Выявлена: 20.06.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-94 — неверное управление генерацией кода (Внедрение кода); CWE-502 — восстановление в памяти недостоверных данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных, инъекция