CVE-2020-9353

SmartClient versão 12.0

Foi descoberta uma vulnerabilidade na chamada de procedimento remoto (RPC) loadFile fornecida pela funcionalidade do console. A vulnerabilidade afeta a URL /tools/developerConsoleOperations.jsp (ou /isomorphic/IDACall), onde é possível a inclusão de arquivos locais sem autenticação por meio de sequências de traversal de diretório no elemento XML elem no parâmetro transaction. A documentação observa que essas ferramentas estão disponíveis para qualquer pessoa por padrão e devem ser implantadas apenas em um ambiente confiável ou restritas a administradores ou usuários finais, protegendo o caminho das ferramentas com mecanismos normais de autenticação e autorização no servidor web.

Para o SmartClient versão 12.0, restrinja o acesso à URL /tools/developerConsoleOperations.jsp (ou /isomorphic/IDACall) protegendo o caminho das ferramentas com mecanismos normais de autenticação e autorização no servidor web para minimizar o risco de exploração. Considere desativar a funcionalidade do console até que um patch esteja disponível. Evite usar o elemento XML elem no parâmetro transaction no endpoint da API afetado até que o problema seja resolvido.