CVE-2020-12078

Open-AudIT versão 3.3.1

Foi descoberta uma falha no Open-AudIT que permite a injeção de metacaracteres de shell por meio de atributos em uma URI do tipo “open-audit/configuration/”. Um invasor pode explorar essa vulnerabilidade adicionando um endereço IP excluído às configurações globais de descoberta, internamente referidas como exclude ip. Esse valor exclude ip é passado para a função exec no arquivo discoveries helper.php, especificamente dentro da função all ip list, sem ser filtrado. Como resultado, o invasor pode fornecer uma carga maliciosa em vez de um endereço IP válido.

Para a versão 3.3.1 do Open-AudIT, considere desativar a função all ip list no arquivo discoveries helper.php como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à URI “open-audit/configuration/” para minimizar o risco de exploração. Evite usar a variável exclude ip nas configurações globais de descoberta até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.