PT-2024-8705 · Siemens · Sinec Ins
CVE-2024-46888
·
Publicado
2024-11-12
·
Atualizado
2024-11-17
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do SINEC INS anteriores à V1.0 SP2 Update 3
Descrição
Foi identificada uma vulnerabilidade no aplicativo afetado, que não sanitiza adequadamente os caminhos fornecidos pelo usuário para uploads e downloads de arquivos via SFTP. Isso poderia permitir que um invasor remoto autenticado manipulasse arquivos arbitrários no sistema de arquivos e executasse código arbitrário no dispositivo. O problema está relacionado a erros na limpeza dos caminhos para uploads de arquivos.
Recomendações
Para versões anteriores à V1.0 SP2 Update 3, atualize para a V1.0 SP2 Update 3 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a uploads e downloads de arquivos baseados em SFTP até que um patch esteja disponível. Evite usar caminhos fornecidos pelo usuário para uploads e downloads de arquivos baseados em SFTP no aplicativo afetado até que o problema seja resolvido.
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Sinec Ins