یک آسیب‌پذیری امنیتی از نوع Command Injection (CWE-77) در نسخه 0.4.0 نرم‌افزار Opptrix شناسایی شده است. این نقص امنیتی به مهاجم اجازه می‌دهد تا بدون نیاز به هیچ‌گونه احراز هویت (Authentication) یا تعامل کاربر (User Interaction)، دستورات دلخواه سیستم‌عامل را بر روی میزبان (Host) اجرا کند.
جزئیات فنی و بردار حمله
این آسیب‌پذیری در کامپوننت Schedule API و مشخصاً در نقطه پایانی (Endpoint) مربوط به /api/auth/setup قرار دارد. مهاجم می‌تواند با ارسال یک درخواست دستکاری شده به این مسیر، دستورات سیستم‌عامل را تزریق کرده و آن‌ها را اجرا نماید. بر اساس بردار CVSS 4.0، این حمله دارای پیچیدگی پایین (Low Complexity) بوده و از راه دور (Remote) قابل انجام است.
محدودیت‌ها و وضعیت فعلی
با وجود ماهیت خطرناک این آسیب‌پذیری، چند عامل باعث کاهش اولویت عملیاتی آن شده است:
- طراحی محصول: توسعه‌دهنده اعلام کرده است که این نرم‌افزار صرفاً برای اجرا در محیط localhost طراحی شده بود و این نقص عمدتاً در محیط‌های محلی مشاهده شده است.
- وضعیت پروژه: پروژه Opptrix اکنون منسوخ (Deprecated) شده و به‌طور کامل از دسترس خارج شده است.
- عدم وجود پچ عمومی: از آنجایی که پروژه متوقف شده، پچ رسمی و عمومی برای به‌روزرسانی در دسترس نیست.
توصیه‌های امنیتی
برای سازمان‌هایی که همچنان از نسخه‌های قدیمی این ابزار استفاده می‌کنند، توصیه می‌شود:
- هرگونه نمونه از این نرم‌افزار را تنها به رابط loopback محدود کرده و از در دسترس بودن آن در شبکه‌های خارجی جلوگیری کنید.
- بهترین راهکار، از کار انداختن (Decommissioning) کامل این سرویس است، زیرا دیگر پشتیبانی نمی‌شود.
