CVE-2018-18251 in Vision
要約
〜によって VulDB • 2026年06月14日
Deltek Vision 7.x（バージョン7.6より前）では、カスタムRPC over HTTPプロトコルを通じて攻撃者が指定した任意のSQL文を実行できる。Visionシステムはセキュリティルールとサーバーに送信されるSQL文およびその他のコンテンツの整合性を強制するためにクライアントバイナリに依存している。いくつかの方法でクライアントHTTP呼び出しを操作し、任意のSQL文（SQLインジェクションと同様）を実行したり、このカスタムプロトコル経由で他の未指定の影響を与えたりすることが可能である。これらの攻撃を行うにはまず認証済みセッションが必要となる場合がある。一部のケースでは暗号化によってクライアント呼び出しが難読化されているものの、ハードコードされたキーと不十分なキーローテーションプロトコルのためにこれを回避できる可能性がある。影響としては一部の実装環境においてリモートコード実行が含まれる可能性もあるが、ベンダーはインストールドキュメントを遵守すればこれは発生しないと述べている。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.