CVE-2020-15645

Marvell QConvergeConsole versão 5.5.0.64

Esta vulnerabilidade permite que invasores remotos executem código arbitrário em instalações afetadas. Embora seja necessária autenticação para explorar esta vulnerabilidade, o mecanismo de autenticação existente pode ser contornado. A falha específica existe no método getFileFromURL da classe GWTTestServiceImpl, resultante da falta de validação adequada de um caminho fornecido pelo usuário antes de usá-lo em operações de arquivo. Um invasor pode aproveitar esta vulnerabilidade para executar código no contexto do SYSTEM.

Para o Marvell QConvergeConsole versão 5.5.0.64, considere desativar o método getFileFromURL da classe GWTTestServiceImpl como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à classe GWTTestServiceImpl para minimizar o risco de exploração. Evite usar caminhos fornecidos pelo usuário em operações com arquivos até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.