PT-2025-29884 · Idera · Idera Up.Time Monitoring Station

Denis Andzakovic · Publicado 2025-07-16 · Atualizado 2025-07-17 · CVE-2025-34121

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Idera Up.Time Monitoring Station versões até e incluindo a 7.2

Descrição Existe uma vulnerabilidade de upload de arquivo arbitrário sem autenticação. O script wizards/post2file.php aceita parâmetros POST arbitrários, permitindo que invasores façam upload de arquivos PHP criados especialmente para a raiz web, resultando em execução remota de código como o usuário do servidor web.

Recomendações Atualize o Idera Up.Time Monitoring Station para uma versão superior à 7.2. Como medida temporária, restrinja o acesso ao script wizards/post2file.php.

Exploit

Correção

RCE

Missing Authentication

Unrestricted File Upload

Enumeração de Fraquezas

CWE-306

CWE-434

Identificadores relacionados

CVE-2025-34121

Produtos afetados

Idera Up.Time Monitoring Station

Referências · 8

• 🔥 https://exploit-db.com/exploits/38732 · Exploit
• 🔥 https://web.archive.org/web/20150210113937/http://security-assessment.com/files/documents/advisory/Up.Time%207.2%20-%20Arbitrary%20File%20Upload.pdf · Exploit
• 🔥 https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/multi/http/uptime_file_upload_1.rb · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2025-34121 · Nota de Segurança
• https://vulncheck.com/advisories/idera-uptime-arbitrary-file-upload-rce · Nota
• https://twitter.com/VulmonFeeds/status/1945681455415202280 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1945598202255737319 · Publicação no Twitter
• https://t.me/cvetracker/28006 · Publicação no Telegram