Frycos

**Nome do Software Vulnerável e Versões Afetadas** Versões do GFI MailEssentials anteriores à 21.8 **Descrição** O problema está relacionado a uma vulnerabilidade de Entidade Externa XML (XXE). Um atacante remoto e autenticado pode enviar solicitações HTTP manipuladas para ler arquivos arbitrários do sistema. **Recomendações** Para versões anteriores à 21.8, atualize para a versão 21.8 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de solicitação HTTP para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Versões do GFI MailEssentials anteriores à 21.8 **Descrição** O problema está relacionado a uma falha de desserialização .NET. Um atacante remoto e autenticado pode executar código arbitrário ao enviar dados .NET serializados manipulados ao ingressar em uma configuração de múltiplos servidores. **Recomendações** Para versões do GFI MailEssentials anteriores à 21.8, atualize para a versão 21.8 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à configuração de múltiplos servidores para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Microsoft Dynamics 365 Business Central (versões afetadas não especificadas) **Descrição** O problema está relacionado a falhas no procedimento de autenticação do Microsoft Dynamics 365 Business Central. A exploração dessa vulnerabilidade pode permitir que um invasor remoto eleve seus privilégios. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Microsoft Dynamics 365 Business Central (versões afetadas não especificadas) **Descrição** O problema está relacionado a falhas no mecanismo de desserialização do Microsoft Dynamics 365 Business Central, permitindo que um invasor remoto execute código arbitrário. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Skype for Business Server (affected versions not specified) **Description** The issue is related to a lack of protection for service data in Skype for Business Server, which can be exploited to disclose protected information. This is a privilege escalation issue. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** GFI Kerio Connect versions 9.4.1 patch 1 through 9.4.1 patch 1 **Description** An issue was discovered in the webmail component's 2FASetup function, which is vulnerable to a stack-based Buffer Overflow. This occurs via an authenticated request with a long `primaryEMailAddress` field to the "webmail/api/jsonrpc" URI. **Recommendations** For GFI Kerio Connect version 9.4.1 patch 1, update to version 10.0.0 to resolve the issue. As a temporary workaround, consider restricting access to the webmail component's 2FASetup function until a patch is available. Avoid using long `primaryEMailAddress` fields in the affected API endpoint until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** Docmosis Tornado versions prior to 2.9.5 **Description** An issue allows an unauthenticated attacker to bypass the authentication check filter completely by introducing a specially crafted request with relative path segments. **Recommendations** For versions prior to 2.9.5, update to version 2.9.5 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Docmosis Tornado versions 2.9.4 and earlier **Description** The issue allows for Directory Traversal, which can lead to the disclosure of arbitrary content on the file system. **Recommendations** For versions 2.9.4 and earlier, update to a version later than 2.9.4 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Docmosis Tornado versions prior to 2.9.5 **Description** An issue allows an authenticated attacker to change the Office directory setting to point to an arbitrary remote network path, triggering the execution of the soffice binary under the attacker's control. This leads to arbitrary remote code execution (RCE). **Recommendations** For versions prior to 2.9.5, update to version 2.9.5 or later to resolve the issue. As a temporary workaround, consider restricting access to the Office directory setting to prevent attackers from modifying it.

**Nome do Software Vulnerável e Versões Afetadas** Versões do GFI MailEssentials anteriores à 21.8 **Descrição** Existe um problema de escalonamento de privilégio local, permitindo que um atacante local eleve seus privilégios para NT Authority/SYSTEM ao enviar um payload serializado especialmente construído para um Serviço de Remoting .NET. **Recomendações** Para versões do GFI MailEssentials anteriores à 21.8, atualize para a versão 21.8 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao Serviço de Remoting .NET para minimizar o risco de exploração.