PT-2021-17379
CVE-2021-27275
·
Publicado
2021-03-26
·
Atualizado
2021-03-30
Descrição por
CVSS 3.1
8.3
AltaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H
Nome do software vulnerável e versões afetadas
NETGEAR ProSAFE Network Management System versão 1.6.0.26
Descrição
Esta vulnerabilidade permite que invasores remotos divulguem informações confidenciais e excluam arquivos arbitrários nas instalações afetadas. Embora seja necessária autenticação para explorar esta vulnerabilidade, o mecanismo de autenticação existente pode ser contornado. A falha específica existe na classe ConfigFileController, mais precisamente ao analisar o parâmetro
realName, que não valida adequadamente um caminho fornecido pelo usuário antes de usá-lo em operações de arquivo. Um invasor pode aproveitar essa vulnerabilidade para divulgar informações confidenciais ou criar uma condição de negação de serviço no sistema.Recomendações
Para o NETGEAR ProSAFE Network Management System versão 1.6.0.26, considere desativar a classe ConfigFileController ou restringir o acesso a ela até que um patch esteja disponível. Além disso, restrinja o uso do parâmetro
realName em operações de arquivo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾