Runzero

The BMC does not correctly enforce integrity and encryption requirements for IPMI commands. An attacker may be able to craft packets that execute arbitrary commands on an active session.

O Baseboard Management Controller (BMC) não aplica corretamente os requisitos de integridade e criptografia para comandos IPMI. Isso permite que um invasor envie pacotes manipulados para executar comandos arbitrários em sessões RMCP+ (Remote Management Control Protocol Plus) ativas sem a necessidade de autenticação.

The HTML5 KVM-over-IP console authenticates with a token returned by the web interface. Weaknesses in token generation may allow an attacker to guess the session token and take control of the KVM session.

A flaw in the BMC RAKP+ implementation may allow an attacker to send a request followed by a specially crafted RAKP message and establish an RMCP+ session, which could then be used to execute commands.

This issue may allow an authenticated IPMI Administrator to read arbitrary files from the BMC filesystem, disclosing material well beyond the intended IPMI management role.

A logic flaw in the BMC IPMI implementation may allow an attacker to send specially crafted RAKP+ messages and escalate an account to administrator privileges.

This issue may allow an authenticated IPMI Administrator to read and write arbitrary BMC physical memory and thereby execute code on the BMC operating system.

This issue may allow an IPMI authenticated administrator to execute commands as the operating system root user on the BMC

Existe uma falha de bypass de autorização no serviço MCP. Este problema é uma instância de Authorization Bypass Through User-Controlled Key, que ocorre quando uma aplicação utiliza uma entrada fornecida pelo usuário para acessar um recurso sem verificar adequadamente se o usuário está autorizado a acessar esse recurso específico.

Um problema envolvendo a gestão inadequada de privilégios permite que uma configuração de painel seja visualizada fora do escopo da organização autorizada.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260202.0 Description Uma falha permitiu que agentes MCP acessassem informações de remediação e ativos fora dos limites organizacionais autorizados. Isso é categorizado como autorização incorreta. Recommendations Atualize para a versão 4.0.260202.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260203.0 Description Uma falha existe que pode permitir que um usuário com credenciais existentes visualize informações confidenciais por meio de uma resposta de API. Isso é categorizado como CWE-200: Exposição de Informações Confidenciais a um Ator Não Autorizado. Recommendations Atualize para a versão 4.0.260203.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260203.0 Description Uma falha existe que pode impedir que os tempos limite de inatividade da sessão sejam acionados devido ao recarregamento automático da página. Isso se deve ao controle insuficiente de recursos após a expiração ou liberação. Recommendations Atualize para a versão 4.0.260203.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260203.0 Description Um problema permitiu que administradores criassem e atualizassem usuários fora do escopo de autorização de sua organização. Esta é uma instância de CWE-863: Autorização Incorreta. Recommendations Atualize para a versão 4.0.260203.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260203.0 Description Uma falha permitiu que agentes MCP acessassem informações de certificado além de seus limites organizacionais autorizados. Isso é categorizado como CWE-863: Autorização Incorreta. Recommendations Atualize para a versão 4.0.260203.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260204.2 Description Uma falha de segurança permite que um usuário autorizado visualize segredos em texto simples para certos tipos e campos de credenciais. Recommendations Atualize para a versão 4.0.260204.2 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260205.0 Description O software contém uma falha de autorização que pode expor informações de tarefas fora do escopo da organização autorizada. Isso se deve à autorização incorreta (CWE-863). Recommendations Atualize para a versão 4.0.260205.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.260206.0 Description O software contém uma falha de autorização que pode expor registros fora do escopo autorizado da organização através dos endpoints MCP. A falha é classificada como CWE-863: Autorização Incorreta. Recommendations Atualize para a versão 4.0.260206.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Explorer versões anteriores a 4.0.260208.0 Description Uma falha existe que pode permitir acesso não autorizado a grupos Explorer. Isso se deve à autorização incorreta. Recommendations Atualize para a versão 4.0.260208.0 ou posterior.

Name of the Vulnerable Software and Affected Versions runZero Platform versões anteriores a 4.0.26021.0 Description Uma falha existe que poderia permitir a modificação e uso não autorizados de credenciais fora dos limites organizacionais pretendidos. Isso é categorizado como CWE-863: Autorização Incorreta. Recommendations Atualize para a versão 4.0.26021.0 ou posterior.