CVE-2020-9351

SmartClient versão 12.0

Foi detectada uma falha no SmartClient que permite que um invasor não autenticado envie uma solicitação POST para “/tools/developerConsoleOperations.jsp” ou “/isomorphic/IDACall” com dados XML malformados no parâmetro transaction. O servidor responde com um erro detalhado, exibindo o caminho absoluto do aplicativo. Observa-se que essas ferramentas estão disponíveis para qualquer pessoa por padrão e devem ser implantadas apenas em um ambiente confiável ou restritas a administradores ou usuários finais, protegendo o caminho das ferramentas com mecanismos normais de autenticação e autorização no servidor web.

Para o SmartClient versão 12.0, restrinja o acesso aos endpoints “/tools/developerConsoleOperations.jsp” e “/isomorphic/IDACall” protegendo o caminho das ferramentas com mecanismos normais de autenticação e autorização no servidor web para minimizar o risco de exploração. Considere desativar temporariamente esses endpoints até que uma solução mais permanente esteja disponível.