CVE-2024-10070

ESAFENET CDG versão 5

Foi identificada uma vulnerabilidade crítica no ESAFENET CDG, que afeta a função actionPolicyPush do arquivo /com/esafenet/policy/action/PolicyPushControlAction.java. A manipulação do argumento policyId leva à injeção de SQL. É possível iniciar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso. O fornecedor foi contatado antecipadamente sobre essa divulgação, mas não respondeu de forma alguma.

Para o ESAFENET CDG versão 5, como solução temporária, considere desativar a função actionPolicyPush até que um patch esteja disponível. Restrinja o acesso ao arquivo /com/esafenet/policy/action/PolicyPushControlAction.java para minimizar o risco de exploração. Evite usar o argumento policyId na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.