PT-2022-16668
CVE-2022-24393
·
Publicado
2022-05-17
·
Atualizado
2022-05-26
Descrição por
CVSS 2.0
9.0
AltaMétricasAV:N/AC:L/Au:S/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Versões do Fidelis Network e do Deception anteriores à 9.4.5
Descrição
A vulnerabilidade permite a injeção de comandos autenticados por meio da interface web, utilizando o valor
check vertica upgrade para o parâmetro cpIp. Isso poderia permitir que uma solicitação HTTP especialmente criada executasse comandos do sistema no CommandPost e retornasse resultados em uma resposta HTTP por meio de uma sessão autenticada.Recomendações
Para versões anteriores à 9.4.5, atualize para a versão 9.4.5 ou posterior para resolver este problema. Como solução alternativa temporária, considere restringir o acesso à interface web ou limitar o uso do parâmetro
cpIp até que um patch seja aplicado.Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾