Vultza

O software possui verificações de autorização inadequadas, o que pode levar à manipulação não autorizada de recursos.

Nome do Software Vulnerável e Versões Afetadas Acronis Cyber Protect 17 versões anteriores ao build 41186 Descrição Existe uma condição de negação de serviço devido à validação inadequada de entrada no processo de registro de autenticação. Recomendações Atualize o Acronis Cyber Protect para o build 41186 ou posterior.

Um problema de controle de acesso impróprio pode levar à divulgação de informações sensíveis. A vulnerabilidade afeta o Acronis Cyber Protect 17 nos sistemas operacionais Linux e Windows.

Pode ocorrer uma divulgação de informações sensíveis devido a uma configuração inadequada de um navegador headless.

O software apresenta validação insuficiente de controle de acesso, resultando em acesso não autorizado a dados.

Nome do Software Vulnerável e Versões Afetadas Versões do Acronis Cyber Protect anteriores ao build 41186 Descrição Controle de acesso insuficiente permite a exclusão não autorizada de relatórios. Recomendações Atualize para o build 41186 ou posterior.

Pode ocorrer uma elevação local de privilégios devido ao tratamento inadequado de links simbólicos. Isso permite que um atacante com acesso local possa potencialmente obter privilégios elevados no sistema.

Nome do Software Vulnerável e Versões Afetadas Acronis Cyber Protect 17 (Windows) versões anteriores ao build 41186 Descrição Uma elevação de privilégios local pode ocorrer devido ao tratamento inadequado de links simbólicos. Isso permite que um atacante com acesso local possa potencialmente obter privilégios elevados no sistema. Recomendações Atualize o Acronis Cyber Protect 17 (Windows) para o build 41186 ou posterior.

Verificações de autorização insuficientes permitem a modificação não autorizada de configurações. Isso afeta o Acronis Cyber Protect 17 tanto nos sistemas operacionais Linux quanto no Windows.

Um problema no Kibana Fleet permite a alocação excessiva de recursos por meio de uma solicitação de recuperação em massa especialmente elaborada. Um invasor com privilégios de baixo nível, como a função de visualizador que concede acesso de leitura às políticas de agentes, pode disparar operações redundantes de recuperação de banco de dados. Esse processo consome memória rapidamente, levando à falha do servidor e resultando em negação de serviço para todos os usuários.

Name of the Vulnerable Software and Affected Versions: Acronis Cyber Protect Cloud Agent (Linux, macOS, Windows) versions prior to build 40296 Description: The issue involves local privilege escalation due to improper soft link handling. Recommendations: Update Acronis Cyber Protect Cloud Agent to build 40296 or later.

O problema está relacionado a uma vulnerabilidade de Server-Side Request Forgery (SSRF), que pode levar à divulgação de informações sensíveis.

O problema surge devido à falha em validar a unicidade e a quantidade de ações de tarefa dentro da operação GraphQL "UpdateRunTaskActions". Isso permite que um invasor crie itens de tarefa que contêm um número excessivo de ações acionadas por publicações específicas, levando a uma condição de negação de serviço (DoS) ao sobrecarregar o servidor.

Nome do Software Vulnerável e Versões Afetadas: Versões do Mattermost 10.5.x até 10.5.1 Versões do Mattermost 9.11.x até 9.11.9 Descrição: A vulnerabilidade permite que um atacante que conheça os IDs de arquivos excluídos obtenha metadados dos arquivos através da criação de favoritos, pois o software não verifica se um arquivo foi excluído ao criar um favorito. Recomendações: Para as versões 10.5.x até 10.5.1, atualize para uma versão posterior à 10.5.1 para resolver o problema. Para as versões 9.11.x até 9.11.9, atualize para uma versão posterior à 9.11.9 para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de criação de favoritos até que um patch esteja disponível.

O problema está relacionado à ausência de limitação de tamanho de arquivo para uploads de arquivos de importação do Slack, o que permite que um usuário cause uma negação de serviço (DoS) por meio de um “zip bomb”, importando dados em uma equipe da qual é administrador.

O problema está relacionado a uma falha na execução de verificações de autorização adequadas no endpoint “/api/v4/groups/<group-id>/channels/<channel-id>/link”. Isso permite que um usuário identifique os membros de um grupo AD/LDAP vinculado a uma equipe ao adicionar o grupo a um canal, mesmo que o usuário não tenha acesso à equipe.

O problema está relacionado à falha em limitar o número de sessões ativas, o que permite que um invasor autenticado cause a falha do servidor por meio de solicitações repetidas à “API getSessions” após sobrecarregar a tabela de sessões.

O problema ocorre porque o Mattermost Server não limita o número de preferências do usuário, permitindo que um invasor envie um grande número de preferências do usuário, o que pode causar uma negação de serviço.

A vulnerabilidade permite que um invasor autenticado cause falha nas aplicações cliente de outros usuários por meio de mensagens grandes e maliciosas, devido à falha em limitar o número de @-menções processadas por mensagem.

O problema está relacionado à falta de autorização adequada em solicitações que buscam grupos AD/LDAP associados a equipes, permitindo que um usuário obtenha detalhes de grupos AD/LDAP de uma equipe da qual não é membro. Isso pode ser explorado por um invasor remoto para obter acesso não autorizado às informações do usuário. O endpoint vulnerável está relacionado ao componente `/plugins/playbooks/api/v0/telemetry/run/`.