PT-2020-20131
CVE-2020-8427
·
Publicado
2020-02-17
·
Atualizado
2022-01-01
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Unitrends Backup anteriores à 10.4.1
Versões do Kaseya Traverse anteriores à 9.5.20
Descrição
O problema envolve a sanitização inadequada de um parâmetro de solicitação HTTP, permitindo injeção de SQL e contorno de autenticação. Além disso, há uma preocupação com ataques de injeção de comando do sistema operacional contra contas de usuário, associados a uma chamada de API de relatório do Netflow Top Applications. Isso pode ser explorado por um invasor autenticado que envie um campo JSON modificado dentro dos dados POST para um endpoint de API específico.
Recomendações
Para versões do Unitrends Backup anteriores à 10.4.1, atualize para a versão 10.4.1 ou posterior para resolver o problema.
Para versões do Kaseya Traverse anteriores à 9.5.20, atualize para a versão 9.5.20 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso à chamada de API de relatórios do Netflow Top Applications até que um patch esteja disponível. Evite usar campos JSON modificados nos dados POST para minimizar o risco de exploração.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾