Alert EPSS: Prawdopodobieństwo eksploatacji tej podatności w ciągu najbliższych 30 dni wynosi 89,1% (percentyl: 100%). To jeden z najwyższych wyników, jakie w ogóle występują.
Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2021-23758 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2021 |
| Data publikacji | 2026-08-26 |
| Producent | Michael Schwarz |
| Produkt | Ajax.NET Professional (AjaxPro), pakiet ajaxpro.2 |
| CVSS Score | 8.1 (Wysoki) |
| EPSS Score | 89.1% (percentyl: 100%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-09 |
Opis podatności
Źródło: CISA KEV / NVD
Wszystkie wersje pakietu ajaxpro.2 (Ajax.NET Professional, w skrócie AjaxPro) są podatne na deserializację niezaufanych danych. Biblioteka deserializuje dowolne klasy .NET przekazane przez atakującego, co pozwala doprowadzić do zdalnego wykonania kodu na serwerze aplikacji.
Produkt nie jest już wspierany — CISA klasyfikuje go jako end-of-life / end-of-service. Nie ma poprawki, którą można nałożyć. Jedyną skuteczną reakcją jest usunięcie biblioteki z aplikacji lub migracja na wspierany mechanizm wywołań AJAX.
Kombinacja EPSS 89% i statusu KEV oznacza, że to nie jest teoretyczne ryzyko: podatność jest wykorzystywana masowo, a skanery atakujących szukają jej celowo.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zapewniając zgodność z wytycznymi CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz z wymaganiami CISA dotyczącymi triage’u śledczego („Forensics Triage Requirements”). W przypadku usług chmurowych postępuj zgodnie z odpowiednimi wytycznymi BOD 26-04 albo zaprzestań korzystania z produktu, jeśli środki zaradcze nie są dostępne.
Ponieważ biblioteka jest bez wsparcia, kolejność działań jest inna niż przy zwykłym patchowaniu:
- Ustal, czy
ajaxpro.2(lubAjaxPro.dll) występuje w którejkolwiek z utrzymywanych aplikacji .NET — także tych, których nikt już nie rozwija. - Jeśli tak, odetnij dostęp do endpointów AjaxPro z sieci niezaufanych, zanim zaplanujesz usunięcie biblioteki.
- Zaplanuj migrację lub wycofanie aplikacji. Nie ma wersji, do której można zaktualizować.
Termin wyznaczony przez CISA dla podmiotów federalnych USA: 2026-09-09.
Kogo dotyczy?
Podatność dotyczy aplikacji ASP.NET korzystających z biblioteki Ajax.NET Professional (AjaxPro) w dowolnej wersji.
To biblioteka z wczesnej ery ASP.NET — dziś spotykana niemal wyłącznie w aplikacjach dziedziczonych (legacy), które nadal działają, bo obsługują proces biznesowy, ale nie mają aktywnego zespołu rozwojowego. Takie aplikacje są w polskich firmach realnie obecne w finansach, ubezpieczeniach i administracji, gdzie systemy wewnętrzne żyją po kilkanaście lat. Warto sprawdzić rejestr aplikacji pod kątem samej obecności pliku AjaxPro.dll — wysoki EPSS oznacza, że czas reakcji jest tu krótki.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
