CVE-2020-29552

URVE Build 24.03.2020

Foi descoberta uma vulnerabilidade no URVE. Ao utilizar a subcadeia “ internal/pc/vpro.php?mac=0&ip=0&operation=0&usr=0&pass=0%3bpowershell+-c+”, é possível executar um comando Powershell e redirecionar sua saída para um arquivo na raiz do servidor web.

Como solução temporária, considere restringir o acesso ao endpoint “ internal/pc/vpro.php” até que uma correção esteja disponível.

Evite usar os parâmetros mac, ip, operation, usr e pass no endpoint da API afetado até que o problema seja resolvido.

Restrinja a capacidade de executar comandos do Powershell por meio da substring vulnerável para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.