PT-2022-3278

CVE-2022-31088

Publicado

2022-06-16

Atualizado

2022-07-15

Descrição por

CVSS 3.1

6.5

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L

Nome do software vulnerável e versões afetadas

Versões do LDAP Account Manager anteriores à 8.0

Descrição

O problema ocorre devido à falta de neutralização de elementos especiais na aplicação web do LDAP Account Manager, permitindo que um invasor remoto utilize o campo username para enumerar dados LDAP. Isso só é possível em configurações que utilizam a pesquisa LDAP.

Recomendações

Para versões anteriores à 8.0, atualize para a versão 8.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de login para minimizar o risco de exploração. Evite usar o campo username no endpoint de login afetado até que o problema seja resolvido.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Arseniy Sharoglazov

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (\'Injection\')

Identificadores relacionados

CVE-2022-31088