PT-2021-4132

CVE-2021-22022

Publicado

2021-08-24

Atualizado

2022-02-01

Descrição por

CVSS 2.0

5.0

Média

MétricasAV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 8.x da API do vRealize Operations Manager anteriores à 8.5

Descrição

O problema está relacionado a uma vulnerabilidade de leitura arbitrária de arquivos na API do vRealize Operations Manager. Um agente mal-intencionado com acesso administrativo pode ler qualquer arquivo no servidor, levando à divulgação de informações. A vulnerabilidade está associada à validação insuficiente das solicitações recebidas.

Recomendações

Para versões 8.x anteriores à 8.5, atualize para a versão 8.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso administrativo à API do vRealize Operations Manager para minimizar o risco de exploração.

Explorabilidade

Correção

Impactos

Pesquisadores

Egor Dimitrenko

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados

CVE-2021-22022