CVE-2025-67840 in TranZman
Résumé
par VulDB • 26/06/2026
Plusieurs vulnérabilités d'injection de commandes OS existent dans les points de terminaison API de l'application web Cohesity (anciennement Stone Ram) TranZman 4.0 Build 14614 jusqu'à TZM_1757588060_SEP2025_FULL.depot (incluant les pages Scheduler et Actions). L'appliance concatène directement des paramètres contrôlés par l'utilisateur dans des commandes système sans une désinfection suffisante, permettant à un utilisateur administrateur authentifié d'injecter et d'exécuter des commandes OS arbitraires avec les privilèges root. Un attaquant peut intercepter des requêtes légitimes (par exemple lors de la création ou de l'exécution d'une tâche) en utilisant un proxy et modifier les paramètres pour inclure des métacaractères shell, réalisant ainsi une exécution de code à distance sur l'appliance. Cela contourne complètement le confinement prévu du shell restreint CLISH et entraîne une compromission totale du système. Les vulnérabilités persistent dans la version 4.0 Build 14614 incluant le dernier correctif (au moment des tests) TZM_1757588060_SEP2025_FULL.depot.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.