PT-2025-3677
CVE-2024-57968
·
تاريخ النشر
2024-11-13
·
تاريخ التحديث
2025-03-21
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Advantive VeraCore الأقدم من 2024.4.2.1
الوصف
تسمح هذه الثغرة للمستخدمين البعيدين المصادق عليهم بإرسال ملفات إلى مجلدات غير مخصصة لهذا الغرض، مثل تلك التي يمكن للمستخدمين الآخرين الوصول إليها أثناء تصفح الويب. يمكن استخدام نقطة النهاية ”upload.aspx“ لهذا الغرض. وقد استغلّت مجموعة XE هذه الثغرة لمهاجمة سلاسل التوريد، ونشر قذائف عكسية، وسرقة الملفات، وتعديل البيانات. وقد استُخدم هذا الاستغلال في هجمات حقيقية، حيث حوّلت المجموعة تركيزها من سرقة بيانات بطاقات الائتمان إلى هجمات أكثر تعقيدًا على سلاسل التوريد.
التوصيات
بالنسبة لإصدارات Advantive VeraCore الأقدم من 2024.4.2.1، يُنصح بتعطيل ميزة التحميل في التطبيق كإجراء مؤقت إلى أن يتوفر تصحيح.
قم بتقييد الوصول إلى نقطة النهاية ”upload.aspx“ لتقليل مخاطر الاستغلال.
بالإضافة إلى ذلك، قد تساعد إزالة ميزة تحميل التطبيق في التخفيف من المخاطر، كما لوحظ في التصحيح المؤقت الذي تم إصداره للعملاء الذين يستخدمون النسخة المحلية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾