PT-2020-6292

CVE-2021-22502

Publicado

2020-09-30

Atualizado

2025-03-12

Descrição por

CVSS 2.0

Crítica

MétricasAV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Micro Focus Operation Bridge Reporter versão 10.40

Descrição

O problema está relacionado a uma vulnerabilidade de execução remota de código no produto Micro Focus Operation Bridge Reporter. Ela poderia ser explorada para permitir a execução remota de código no servidor OBR. A vulnerabilidade está associada ao tratamento incorreto de parâmetros no endpoint LogonResource. Isso poderia permitir que um invasor remoto executasse código arbitrário.

Recomendações

Para a versão 10.40, considere desativar o endpoint LogonResource ou restringir o acesso a ele até que uma correção esteja disponível. Além disso, tenha cuidado ao usar os parâmetros userName e token nos endpoints da API afetados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

Identificadores relacionados

CVE-2021-22502

BDU:2021-04036