CVE-2020-35710

Parallels Remote Application Server (RAS) versão 18

A vulnerabilidade permite que invasores remotos descubram um endereço IP da intranet. Isso ocorre porque o envio do formulário de login, mesmo com credenciais em branco, fornece o endereço IP da intranet ao cliente do invasor para ser usado como valor de “host”. Depois que o navegador do invasor envia uma solicitação ao formulário de login, ele envia automaticamente uma segunda solicitação para um URI RASHTML5Gateway/socket.io com algo como “host”:”192.168.###.###” nos dados POST.

Para o Parallels Remote Application Server (RAS) versão 18, considere desativar o envio do formulário de login até que um patch esteja disponível para evitar a divulgação do endereço IP da intranet. Restrinja o acesso à URI RASHTML5Gateway/socket.io para minimizar o risco de exploração. Evite usar o valor host nos dados POST do endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.