Zero-Day у BigAnt Server дозволяє зловмисникам виконувати шкідливий код через завантаження файлів

Критична 0-day уразливість CVE-2025-0364 у BigAnt Server дає змогу атакувальникам виконувати довільний код без автентифікації через ланцюжок реєстрації SaaS та завантаження PHP-файлів. Вразливість впливає на всі версії платформи для корпоративного чату до 5.6.06 на Windows і дозволяє отримати повний контроль над системою. 

Дослідники VulnCheck виявили, що SaaS-портал BigAnt за замовчуванням дозволяє реєстрацію організаційних акаунтів через CAPTCHA. Зловмисники використовують цей механізм для створення адміністративного акаунту в контрольованій ними організації.

Далі через недостатньо захищені сесійні змінні атакувальники отримують UUID для активації SaaS, змінюють контекст сесії і отримують доступ до Cloud Drive. Відсутність перевірки автентифікації дозволяє їм завантажити PHP-скрипти без обмежень, які потім виконуються із системними привілеями NT AUTHORITY\SYSTEM.

Уразливість виникла через низку архітектурних помилок:

• Ненадійні налаштування – SaaS-портал активний за замовчуванням без захисту інсталяції.
• Проблеми управління сесіями – витік UUID через API.
• Відсутність перевірки файлів – завантаження PHP у Cloud Drive без автентифікації.

Попередня CVE-2024-54761 вимагала адміністративного доступу, тоді як нова 0-day працює без авторизації, що піднімає питання точності CVSS-оцінювання. На момент березня 2025 року BigAntSoft ще не випустила патч.