PT-2024-38482 · Progress+1 · Openedge Management+1
CVE-2024-7654
·
Publicado
2024-09-03
·
Atualizado
2024-09-05
CVSS v3.1
8.3
Alta
| Vetor | AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do OpenEdge Management anteriores à 12.8.1
Descrição
O problema diz respeito a um serviço ActiveMQ Discovery que era acessível por padrão a partir de uma instalação do OpenEdge Management quando o recurso de descoberta automática OEE/OEM estava ativado. O acesso não autorizado à porta UDP do serviço de descoberta permitia a injeção de conteúdo em partes da interface web do OEM, possibilitando outros tipos de ataques que poderiam falsificar ou enganar os usuários da interface web.
Recomendações
Para versões do OpenEdge Management anteriores à 12.8.1, atualize o componente afetado imediatamente para corrigir o uso não autorizado do serviço de descoberta OEE/OEM. Como solução alternativa temporária, considere desativar o serviço de descoberta por padrão até que um patch esteja disponível. Restrinja o acesso ao serviço ActiveMQ Discovery vulnerável para minimizar o risco de exploração.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Activemq
Openedge Management