CVE-2024-21245

Nome do Software Vulnerável e Versões Afetadas Versões do JD Edwards EnterpriseOne Tools anteriores a 9.2.9.0

Descrição O problema está relacionado a um componente do sistema JD Edwards EnterpriseOne Tools, especificamente o Business Logic Infra SEC, que possui uma falha em seu mecanismo de confirmação de fonte de dados. Esta falha pode ser explorada por um atacante remoto para obter acesso não autorizado a informações protegidas e modificar, adicionar ou excluir dados usando uma página HTML especialmente elaborada. O ataque requer interação humana de alguém que não seja o atacante e pode impactar significativamente produtos adicionais. Ataques bem-sucedidos podem resultar em acesso não autorizado para atualização, inserção ou exclusão de alguns dos dados acessíveis do JD Edwards EnterpriseOne Tools, bem como acesso não autorizado de leitura a um subconjunto dos dados acessíveis do JD Edwards EnterpriseOne Tools.

Recomendações Para versões anteriores a 9.2.9.0, atualize para a versão 9.2.9.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente Business Logic Infra SEC para minimizar o risco de exploração. Evite usar páginas HTML especialmente elaboradas que possam explorar a vulnerabilidade no mecanismo de confirmação de fonte de dados até que o problema seja resolvido.