CVE-2020-37090: School ERP Pro 1.0 - Upload irrestrito de arquivos PHP em anexos de mensagens leva a RCE

Visão geral

A CVE-2020-37090 descreve uma fraqueza de upload irrestrito de arquivos no School ERP Pro 1.0. Segundo o registro, o recurso de anexos do sistema de mensagens aceita arquivos PHP arbitrários, que podem ser colocados em locais onde o servidor pode executá-los. A fraqueza é classificada como CWE-434, Upload irrestrito de arquivo com tipo perigoso.

Impacto

O registro afirma que a falha possibilita execução remota de código no servidor.
O vetor CVSS 3.1 informado pelo CNA (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) corresponde a uma pontuação de 9,8, classificada como crítica.
O mesmo provedor também informa uma pontuação CVSS 4.0 de 8,7.
Com base nos componentes do vetor, uma exploração bem-sucedida poderia afetar a confidencialidade, a integridade e a disponibilidade do sistema hospedeiro.

Produtos e versões afetados

Produto listado no registro: Arox School Erp Pro, versão 1.0. A descrição refere-se ao produto como School ERP Pro 1.0.
O registro não indica nenhuma versão corrigida ou correção.
Outras versões, forks ou edições não são identificadas no registro.

Situação de exploração

A CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não é confirmada por essa fonte.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A lista de referências inclui um registro da Exploit-DB marcado como exploit. Sua presença indica que material de exploração público foi catalogado, o que reforça a importância de remediação rápida, mas este portal não descreve nem reproduz esse conteúdo.
Dados de EPSS e SSVC não estão disponíveis no registro.

Correção e mitigação

Nenhuma correção do fornecedor é identificada no registro. Recomenda-se confirmar com o fornecedor ou fornecedor original se existe versão corrigida antes de depender de qualquer atualização.
Se o produto estiver em uso, considere isolar ou restringir o acesso ao recurso de mensagens e ao diretório de uploads até que exista correção ou controle compensatório.
Restrinja os tipos de arquivo aceitos, valide o conteúdo no servidor e armazene uploads fora da raiz web ou em locais onde scripts não sejam executados.
Revise e limite quais contas podem usar a função de anexos, considerando que a descrição menciona usuários estudantes.
Quando o produto não tiver mais manutenção, planeje substituição ou desativação.

Orientações de detecção

Examine diretórios de upload e anexos em busca de arquivos de script inesperados, especialmente com extensões executáveis que não foram criadas pelos fluxos normais da aplicação.
Monitore os logs do servidor web em busca de requisições a caminhos incomuns dentro de diretórios de upload e de conexões de saída inesperadas partindo do processo web.
Audite a atividade recente de anexos de mensagens e correlacione com a atividade das contas.
Garanta que o monitoramento de integridade de arquivos cubra os diretórios da aplicação.

Limitações das informações disponíveis

O registro não traz versão corrigida, patch ou aviso oficial do fornecedor além de fontes de terceiros.
O nome do produto difere levemente entre o campo de título do registro e a descrição (Arox School Erp Pro versus School ERP Pro), e o campo title_en do registro está vazio.
O vetor CVSS indica que nenhum privilégio é necessário (PR:N), enquanto a descrição afirma que estudantes podem realizar o upload. As fontes consultadas não esclarecem se há necessidade de autenticação na prática.
O status atual do fornecedor e o ciclo de suporte não estão documentados no registro.
Dados de EPSS e SSVC não estão disponíveis.

Perguntas frequentes

O que é a CVE-2020-37090?

É uma vulnerabilidade de upload irrestrito de arquivos no School ERP Pro 1.0 que permite enviar arquivos PHP arbitrários pelo recurso de anexos de mensagens, conforme o registro.

Qual é a gravidade?

A pontuação CVSS 3.1 informada pelo CNA é 9,8, classificada como crítica, e também há uma pontuação CVSS 4.0 de 8,7.

Há exploração ativa conhecida?

A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Existe versão corrigida?

O registro não lista versão corrigida. Confirme com o fornecedor se existe uma versão com correção.

O que as equipes devem fazer agora?

Restringir ou isolar o recurso afetado, limitar os tipos de arquivo aceitos, manter uploads fora de locais executáveis e monitorar diretórios de upload e a atividade do servidor web.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.