CVE-2024-12908

Delinea Secret Server versão 11.7.31 (manipulador de protocolo versão 6.0.3.26)

O problema decorre da comparação de URIs antes da normalização e canonização dentro da função do manipulador de protocolo, o que pode levar a uma correspondência excessiva com a lista aprovada. Se explorada com sucesso, um invasor remoto pode convencer um usuário a visitar uma página da web maliciosa ou abrir um documento malicioso, acionando o manipulador vulnerável e permitindo a execução de código arbitrário na máquina do usuário. A Delinea adicionou validação para garantir que o arquivo em lote do instalador baixado esteja no formato esperado.

Para o Delinea Secret Server versão 11.7.31, considere desativar a função do manipulador de protocolo até que um patch esteja disponível para evitar uma possível exploração.

Como solução alternativa temporária, restrinja o acesso ao manipulador de protocolo para minimizar o risco de execução de código arbitrário.

Evite usar o manipulador de protocolo vulnerável para lidar com URIs até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.