PT-2020-13851
CVE-2020-14027
·
Publicado
2020-09-22
·
Atualizado
2020-09-26
Descrição por
CVSS 3.1
5.3
MédiaMétricasAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do Ozeki NG SMS Gateway anteriores à 4.17.7
Descrição
Foi descoberta uma falha em que as cadeias de conexão do banco de dados no Ozeki NG SMS Gateway aceitam argumentos personalizados não seguros, como
ENABLE LOCAL INFILE, que podem ser usados por invasores para realizar ataques MySQL Load Data Local, permitindo potencialmente o uso de um servidor MySQL malicioso.Recomendações
Para versões do Ozeki NG SMS Gateway anteriores à 4.17.7, atualize para a versão 4.17.7 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o uso de argumentos personalizados nas cadeias de conexão de banco de dados para impedir a exploração.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾