Watchtowr

**Nome do Software Vulnerável e Versões Afetadas** cPanel e WHM versões anteriores a 11.110.0.97 cPanel e WHM versões anteriores a 11.118.0.63 cPanel e WHM versões anteriores a 11.126.0.54 cPanel e WHM versões anteriores a 11.132.0.29 cPanel e WHM versões anteriores a 11.134.0.20 cPanel e WHM versões anteriores a 11.136.0.5 WP Squared versões anteriores a 136.1.7 **Description** Existe um bypass de autenticação no fluxo de login do daemon de serviço `cpsrvd`, afetando o cPanel, WHM e WP Squared. O problema decorre da sanitização inadequada do cabeçalho `Authorization`, permitindo uma injeção de CRLF (Carriage Return Line Feed). Ao enviar um cabeçalho de Autorização Básica especialmente elaborado contendo caracteres `r `, um invasor remoto não autenticado pode manipular os arquivos de sessão temporários criados no disco. Isso permite que o invasor injete propriedades arbitrárias, como `user=root`, no arquivo de sessão. Quando o sistema recarrega a sessão, ele aceita esses valores injetados como válidos, concedendo ao invasor acesso administrativo root total sem senha. Estima-se que entre 1,5 a 2 milhões de instâncias estejam expostas mundialmente. Esta falha foi explorada por grupos de ransomware Sorry e variantes do Mirai para obter acesso root, criptografar arquivos e estabelecer persistência via backdoors furtivos. **Recommendations** Atualize o cPanel e o WHM para as versões 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20 ou 11.136.0.5. Atualize o WP Squared para a versão 136.1.7 ou posterior. Como mitigação temporária, bloqueie o tráfego de entrada nas portas 2082, 2083, 2086, 2087, 2095 e 2096. Restrinja o acesso ao plano de gerenciamento do WHM a endereços IP estáticos confiáveis ou intervalos de VPN. Audite `/var/cpanel/sessions/` em busca de arquivos contendo entradas `user=root` ou `user=admin` não autorizadas. Realize a rotação de senhas de root, WHM, revendedor e usuário se houver suspeita de invasão.

Name of the Vulnerable Software and Affected Versions: Arcserve Unified Data Protection (UDP) versions prior to 10.2 Arcserve Unified Data Protection (UDP) versions 8.0 through 10.1 Arcserve Unified Data Protection (UDP) versions 7.x and earlier Description: An authentication bypass in Arcserve Unified Data Protection (UDP) allows unauthenticated attackers to gain unauthorized access to protected functionality or user accounts. Attackers can bypass login mechanisms without valid credentials and access administrator-level features by manipulating request parameters or exploiting a logic flaw. Recommendations: Upgrade to Arcserve Unified Data Protection (UDP) version 10.2. Apply the available patch for Arcserve Unified Data Protection (UDP) versions 8.0 through 10.1. Upgrade to Arcserve Unified Data Protection (UDP) version 10.2 from versions 7.x and earlier.

Nome do Software Vulnerável e Versões Afetadas: Arcserve Unified Data Protection (UDP) versões anteriores a 10.2 Arcserve Unified Data Protection (UDP) versões 8.0 até 10.1 Arcserve Unified Data Protection (UDP) versões 7.x e anteriores Descrição: Existe uma vulnerabilidade de cross-site scripting (XSS) refletido na interface web do Arcserve Unified Data Protection (UDP), na qual entradas de usuário não sanitizadas são refletidas inadequadamente em respostas HTTP. Esta falha permite que atacantes remotos com baixos privilégios criem links maliciosos que, quando visitados por outro usuário, executam JavaScript arbitrário no navegador da vítima. A exploração bem-sucedida pode levar ao sequestro de sessão, roubo de credenciais ou outros impactos no lado do cliente. A vulnerabilidade requer interação do usuário e ocorre dentro de um contexto de navegador compartilhado. Recomendações: Arcserve Unified Data Protection (UDP) versões anteriores a 10.2: Atualize para a versão 10.2 para remediar o problema. Arcserve Unified Data Protection (UDP) versões 8.0 até 10.1: Aplique o patch necessário ou atualize para a versão 10.2. Arcserve Unified Data Protection (UDP) versões 7.x e anteriores: Atualize para a versão 10.2 para remediar o problema.

Nome do Software Vulnerável e Versões Afetadas: Arcserve Unified Data Protection (UDP) versões 7.x e anteriores Arcserve Unified Data Protection (UDP) versões 8.0 até 10.1 Arcserve Unified Data Protection (UDP) versões anteriores à 10.2 Descrição: Uma vulnerabilidade de estouro de buffer baseado em heap existe na lógica de análise de entrada do Arcserve Unified Data Protection (UDP). Esta falha pode ser acionada sem autenticação, enviando entrada especialmente elaborada ao sistema alvo. A verificação inadequada de limites permite que um invasor sobrescreva a memória do heap, potencialmente levando a falhas na aplicação ou execução remota de código. A exploração ocorre no contexto do processo afetado e não requer interação do usuário. A vulnerabilidade representa um alto risco devido à sua natureza pré-autenticação e potencial para comprometimento total. Recomendações: Arcserve Unified Data Protection (UDP) versões 7.x e anteriores: Atualize para a versão 10.2 para remediar o problema. Arcserve Unified Data Protection (UDP) versões 8.0 até 10.1: Aplique o patch necessário ou atualize para a versão 10.2. Arcserve Unified Data Protection (UDP) versões anteriores à 10.2: Atualize para a versão 10.2.

Nome do Software Vulnerável e Versões Afetadas: Arcserve Unified Data Protection (UDP) versões anteriores à 10.2 Arcserve Unified Data Protection (UDP) versões 8.0 a 10.1 Arcserve Unified Data Protection (UDP) versões 7.x e anteriores Descrição: Existe uma vulnerabilidade de estouro de buffer baseado em heap nas rotinas de manipulação de entrada voltadas para a rede do Arcserve Unified Data Protection (UDP). A falha pode ser explorada sem autenticação e resulta de uma verificação de limites inadequada ao processar entrada controlada pelo atacante. Um atacante remoto pode enviar dados especialmente elaborados para corromper a memória heap, potencialmente causando uma negação de serviço ou permitindo a execução arbitrária de código, dependendo do layout de memória e das técnicas de exploração utilizadas. Não é necessária interação do usuário, e a exploração ocorre no contexto do processo vulnerável. Recomendações: Arcserve Unified Data Protection (UDP) versões anteriores à 10.2: Atualize para a versão 10.2 para corrigir o problema. Arcserve Unified Data Protection (UDP) versões 8.0 a 10.1: Aplique o patch necessário ou atualize para a versão 10.2. Arcserve Unified Data Protection (UDP) versões 7.x e anteriores: Atualize para a versão 10.2 para corrigir o problema.

**Nome do Software Vulnerável e Versões Afetadas** Commvault Command Center Innovation Release versões 11.38.0 a 11.38.19 **Descrição** Uma vulnerabilidade de path traversal no Commvault Command Center Innovation Release permite que um ator não autenticado faça upload de arquivos ZIP, os quais, quando extraídos pelo servidor alvo, resultam em Execução Remota de Código. Este problema tem sido ativamente explorado e recomenda-se aplicar a correção imediatamente para prevenir a execução remota de código. A vulnerabilidade afeta as versões 11.38.0 a 11.38.19 do Commvault Command Center. As agências federais foram instruídas a aplicar as correções até 23 de maio de 2025. **Recomendações** Para as versões 11.38.0 a 11.38.19 do Commvault Command Center Innovation Release, atualize para a versão 11.38.20 ou 11.38.25 para resolver a vulnerabilidade. Como medida temporária, considere restringir o acesso ao endpoint vulnerável até que a correção seja aplicada.

**Name of the Vulnerable Software and Affected Versions** Kentico Xperience versions through 13.0.180 **Description** An unsafe reflection vulnerability in Kentico Xperience allows an unauthenticated attacker to kill the current process, leading to a Denial-of-Service condition. **Recommendations** For versions through 13.0.180, update to a version that includes a fix for this issue to prevent Denial-of-Service conditions. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** SysAid On-Prem versões 23.3.40 e anteriores **Descrição** O SysAid On-Prem é afetado por uma vulnerabilidade de Entidade Externa XML (XXE) não autenticada na funcionalidade de processamento de URL do servidor. Isso permite a tomada de controle de conta de administrador e operações de leitura de arquivos. O problema decorre da restrição inadequada de referências de entidades externas XML. Relatos indicam exploração ativa desta vulnerabilidade. **Recomendações** Versões anteriores à 23.3.40 devem ser atualizadas.

**Nome do Software Vulnerável e Versões Afetadas** SysAid On-Prem versões 23.3.40 e anteriores **Descrição** O software SysAid On-Prem é afetado por uma vulnerabilidade de Entidade Externa XML (XXE) não autenticada na funcionalidade de processamento `lshw`. A exploração dessa vulnerabilidade pode permitir que um atacante remoto assuma o controle de contas de administrador e leia arquivos. A vulnerabilidade reside no método `doPost` do componente `com.ilient.agentApi.LshwAgent` ao processar solicitações para o endpoint da API `/lshw`. O problema envolve restrição inadequada de referências XML a entidades externas. O parâmetro vulnerável não é especificado explicitamente. **Recomendações** As versões do SysAid On-Prem 23.3.40 e anteriores devem ser atualizadas para uma versão mais recente e corrigida.

**Nome do Software Vulnerável e Versões Afetadas** SysAid On-Prem versões 23.3.40 e anteriores **Descrição** O SysAid On-Prem é afetado por uma vulnerabilidade de Entidade Externa XML (XXE) não autenticada na funcionalidade de processamento de check-in. Isso permite a tomada de controle de conta de administrador e capacidades de leitura de arquivos. Múltiplos relatórios indicam que este problema, identificado como CVE-2025-2775, pode ser encadeado com outras falhas para alcançar Execução Remota de Código (RCE). A vulnerabilidade reside na restrição inadequada de referências de entidades externas XML, especificamente ao processar solicitações de check-in. A exploração envolve o envio de payloads XML maliciosos, potencialmente através do endpoint `/api/v1/servicenow`. A entrada `XML` é vulnerável. Isso permite que atacantes potencialmente exfiltrem dados sensíveis. Várias fontes indicam que a vulnerabilidade está sendo ativamente explorada. **Recomendações** Atualize o SysAid On-Prem para a versão 24.4.60 b16 ou posterior. Como medida de contorno temporária, desative o processamento XXE. Monitore os logs da API em busca de atividade suspeita. Restrinja o acesso à funcionalidade de processamento de check-in.