PT-2024-26442 · Anpviz · Anpviz
CVE-2024-35341
·
Publicado
2024-05-28
·
Atualizado
2024-08-01
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Produtos Anpviz, versões 3.2.2.2 e anteriores
Descrição
A vulnerabilidade permite que usuários não autenticados baixem a configuração ativa do dispositivo por meio de uma solicitação HTTP GET para os URIs “/ConfigFile.ini” ou “/config.xml”. Esse arquivo de configuração contém nomes de usuário e senhas criptografadas, que são criptografadas com uma chave codificada fixa comum a todos os dispositivos.
Recomendações
Para os produtos Anpviz nas versões 3.2.2.2 e anteriores, considere restringir o acesso às URIs “/ConfigFile.ini” e “/config.xml” para impedir que usuários não autenticados baixem o arquivo de configuração até que uma correção esteja disponível. Como solução temporária, limite o acesso à configuração do dispositivo apenas ao pessoal autorizado.
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Anpviz