Andrea Palanca

A signature verification vulnerability was discovered in the update installation functionality due to inconsistent validation of the update bundle contents. An attacker with administrative privileges can remotely supply a crafted update bundle that passes signature verification but runs an unsigned script when the bundle is installed. The script runs with root privileges, allowing the attacker to read or modify sensitive data, change the appliance configuration, or shut down the appliance.

Two OS command injection vulnerabilities were discovered in the update installation functionality due to insufficient validation of the update bundle contents. An attacker with administrative privileges can remotely supply a crafted update bundle that, when installed, causes arbitrary commands to be executed with root privileges, allowing the attacker to read or modify sensitive data, change the appliance configuration, or shut down the appliance.

Um invasor remoto com baixos privilégios pode obter a senha do root devido à remoção inadequada de informações sensíveis antes do armazenamento ou transferência.

Existe uma vulnerabilidade de path traversal na funcionalidade de arquivo de dados do Import Arc devido à validação inadequada do arquivo de entrada. Um usuário autenticado com privilégios limitados pode potencialmente gravar arquivos arbitrários em caminhos arbitrários ao fazer upload de um arquivo de dados Arc especialmente criado. Isso pode levar a alterações na configuração do dispositivo e/ou afetar sua disponibilidade. A vulnerabilidade permite a gravação de arquivos arbitrários em caminhos arbitrários.

Existe um problema de Injeção de HTML Armazenada na funcionalidade Time Machine Snapshot Diff devido à validação inadequada de dados de tráfego de rede. Um atacante que não necessita de autenticação pode enviar pacotes de rede forjados em momentos específicos para injetar tags HTML em atributos de ativos entre dois snapshots. Para explorar isso com sucesso, um usuário deve utilizar o recurso Time Machine Snapshot Diff nos snapshots alvo e realizar ações específicas na interface gráfica, o que fará com que o HTML injetado seja renderizado em seu navegador. Isso pode levar a ataques de phishing e redirecionamento aberto. Embora a exploração completa de Cross-Site Scripting (XSS) seja impedida pela validação de entrada e pela Política de Segurança de Conteúdo, o HTML injetado ainda pode representar um risco. A complexidade da exploração é alta devido às múltiplas condições que devem ser atendidas.

Existe uma vulnerabilidade de Injeção de SQL na funcionalidade Smart Polling devido à validação de entrada inadequada. Um usuário autenticado com privilégios limitados pode executar instruções SQL SELECT arbitrárias no sistema de gerenciamento de banco de dados (SGBD) utilizado pela aplicação web, o que pode levar à divulgação de dados não autorizados. A vulnerabilidade está relacionada à validação inadequada de um parâmetro de entrada.

Existe uma vulnerabilidade de Injeção de SQL devido à validação de entrada inadequada. Um usuário autenticado com privilégios limitados pode executar comandos SQL arbitrários, potencialmente resultando em exposição não autorizada de dados, alteração da estrutura e do conteúdo do banco de dados e/ou interrupção do serviço. A vulnerabilidade reside na funcionalidade de Alerta e envolve a validação inadequada de um parâmetro de entrada.

Existe uma vulnerabilidade de Injeção de SQL na funcionalidade da CLI devido à validação de entrada inadequada. Um usuário autenticado com privilégios limitados pode executar instruções SQL SELECT arbitrárias no sistema de gerenciamento de banco de dados utilizado pela aplicação web, potencialmente resultando em divulgação não autorizada de dados. A vulnerabilidade permite a execução de instruções SQL através da validação inadequada de um parâmetro de entrada.

Existe uma vulnerabilidade de path traversal na funcionalidade Time Machine devido à validação de entrada inadequada de dois parâmetros. Um usuário autenticado com privilégios limitados pode potencialmente modificar arquivos dentro da pasta /data e/ou comprometer sua disponibilidade ao enviar uma requisição especialmente elaborada. A falha permite a manipulação não autorizada de arquivos.

Existe uma vulnerabilidade de Injeção SQL devido à validação de entrada inadequada de um parâmetro na funcionalidade de Alerta. Um usuário autenticado com privilégios limitados pode executar comandos SQL SELECT arbitrários contra o sistema de gerenciamento de banco de dados, potencialmente resultando na divulgação não autorizada de dados.

Existe uma falha de controle de acesso na funcionalidade de Interface de Linha de Comando (CLI). Uma restrição de acesso específica não é aplicada corretamente para usuários com privilégios limitados. Isso permite que um usuário autenticado com privilégios limitados execute comandos administrativos via CLI. A exploração bem-sucedida pode resultar em alterações na configuração do dispositivo e/ou afetar sua disponibilidade.

Existe uma vulnerabilidade de path traversal no lado do cliente no front-end da interface de gerenciamento web devido à validação de entrada inadequada. Um usuário autenticado com privilégios limitados pode criar uma URL maliciosa. O acesso a esta URL por uma vítima autenticada pode resultar em um ataque de Cross-Site Scripting (XSS). A vulnerabilidade envolve a falta de validação de um parâmetro de entrada.

Name of the Vulnerable Software and Affected Versions: Q-Free MaxTime versions less than or equal to 2.11.0 Description: A weak authentication issue in the PIN authentication mechanism allows an unauthenticated remote attacker to brute-force user PINs via multiple crafted HTTP requests. This issue affects Q-Free MaxTime, enabling attackers to potentially gain unauthorized access. Recommendations: For Q-Free MaxTime versions less than or equal to 2.11.0, update to a version greater than 2.11.0 to resolve the issue. As a temporary workaround, consider restricting access to the PIN authentication mechanism to minimize the risk of exploitation.

Name of the Vulnerable Software and Affected Versions: Q-Free MaxTime versions 2.11.0 and earlier Description: The issue is related to missing authentication for a critical function, allowing an unauthenticated remote attacker to enable passwordless guest mode via crafted HTTP requests. This is due to a missing authentication check in the maxprofile/guest-mode/routes.lua file. Recommendations: For Q-Free MaxTime versions 2.11.0 and earlier, update to a version later than 2.11.0 to resolve the issue. As a temporary workaround, consider restricting access to the maxprofile/guest-mode/routes.lua file to prevent exploitation.

Nome do Software Vulnerável e Versões Afetadas: Q-Free MaxTime versões 2.11.0 e anteriores Descrição: O problema está relacionado à ausência de autenticação para uma função crítica no arquivo maxprofile/accounts/routes.lua. Isso permite que um atacante remoto não autenticado crie usuários arbitrários, incluindo administradores, por meio de requisições HTTP manipuladas. Recomendações: Para as versões 2.11.0 e anteriores do Q-Free MaxTime, atualize para uma versão posterior à 2.11.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao arquivo maxprofile/accounts/routes.lua para minimizar o risco de exploração.

Nome do Software Vulnerável e Versões Afetadas: Q-Free MaxTime versões 2.11.0 e anteriores Descrição: O problema está relacionado à ausência de autenticação para uma função crítica no arquivo maxprofile/menu/routes.lua. Isso permite que um atacante remoto não autenticado edite permissões de grupo de usuários por meio de requisições HTTP manipuladas. Recomendações: Para as versões 2.11.0 e anteriores, atualize para uma versão superior à 2.11.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao arquivo maxprofile/menu/routes.lua para impedir edições não autorizadas nas permissões de grupo de usuários.

Nome do Software Vulnerável e Versões Afetadas: Versões do Q-Free MaxTime inferiores ou iguais a 2.11.0 Descrição: O problema está relacionado ao uso de uma chave criptográfica fixa no código no processo de assinatura JWT. Isso permite que um atacante remoto não autenticado contorne a autenticação enviando requisições HTTP forjadas. Recomendações: Para versões do Q-Free MaxTime inferiores ou iguais a 2.11.0, atualize para uma versão superior a 2.11.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao processo de assinatura JWT até que uma correção esteja disponível.

Uma "Discrepância de Resposta Observável" na página de login permite que um atacante remoto não autenticado enumere nomes de usuário válidos por meio de solicitações HTTP manipuladas. Este problema está relacionado à funcionalidade de login, na qual diferenças na resposta podem revelar se um nome de usuário é válido ou não.

Uma vulnerabilidade CWE-346 "Erro de Validação de Origem" na configuração CORS permite que um atacante remoto não autenticado comprometa a confidencialidade, integridade ou disponibilidade do dispositivo por meio de URLs ou solicitações HTTP especialmente construídas.

Nome do Software Vulnerável e Versões Afetadas: Versões do Q-Free MaxTime anteriores à 2.11.0 Descrição: Um problema de falta de autenticação em uma função crítica em maxtime/handleRoute.lua permite que um atacante remoto não autenticado afete a confidencialidade, integridade ou disponibilidade do dispositivo por meio de requisições HTTP manipuladas. Recomendações: Para versões anteriores à 2.11.0, atualize para a versão 2.11.0 ou posterior para resolver o problema. Como medida temporária, considere restringir o acesso à função `handleRoute.lua` até que um patch esteja disponível. Evite utilizar a função vulnerável para minimizar o risco de exploração.