PT-2020-14958
CVE-2020-17408
·
Publicado
2020-09-08
·
Atualizado
2020-09-15
Descrição por
CVSS 3.1
7.5
AltaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
NEC ExpressCluster versão 4.1
Descrição
Esta vulnerabilidade permite que invasores remotos divulguem informações confidenciais nas instalações afetadas. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica está presente no executável clpwebmc, devido à restrição inadequada de referências a Entidades Externas XML (XXE). Um documento especialmente criado, especificando um URI, faz com que o analisador XML acesse o URI e incorpore o conteúdo de volta ao documento XML para processamento posterior. Um invasor pode aproveitar essa vulnerabilidade para divulgar informações no contexto do SYSTEM.
Recomendações
Para o NEC ExpressCluster versão 4.1, considere restringir o acesso ao executável clpwebmc até que um patch esteja disponível. Como solução alternativa temporária, evite usar as referências a Entidades Externas XML no executável afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾