PT-2020-16814

CVE-2020-27859

·

Publicado

2020-06-25

·

Atualizado

2021-01-26

Descrição por

CVSS 3.1
7.5
Alta
MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
NEC ESMPRO Manager versão 6.42
Descrição
Esta vulnerabilidade permite que invasores remotos divulguem informações confidenciais nas instalações afetadas. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica está presente na classe GetEuaLogDownloadAction, resultante da falta de validação adequada de um caminho fornecido pelo usuário antes de sua utilização em operações de arquivo. Um invasor pode aproveitar essa vulnerabilidade para divulgar informações no contexto do SYSTEM.
Recomendações
Para o NEC ESMPRO Manager versão 6.42, considere desativar a classe GetEuaLogDownloadAction até que um patch esteja disponível para impedir a exploração. Restrinja o acesso a informações confidenciais para minimizar o risco de divulgação.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')
Identificadores relacionados
CVE-2020-27859
ZDI-20-736
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com