PT-2025-42523 · Connectwise · Connectwise Automate Agent
CVE-2025-11492
·
Publicado
2025-10-16
·
Atualizado
2025-11-23
CVSS v3.1
9.6
Crítica
| Vetor | AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do ConnectWise Automate anteriores à 2025.9
Descrição
O Agente ConnectWise Automate poderia ser configurado para utilizar HTTP em vez de HTTPS nas comunicações. Isso permite que um atacante posicionado na rede intercepte, modifique ou reproduza o tráfego entre agente e servidor. O método de criptografia utilizado para algumas comunicações via HTTP foi atualizado na versão 2025.9 para impor HTTPS em todas as comunicações do agente, mitigando o risco. Esta vulnerabilidade poderia permitir que atacantes injetassem comandos maliciosos no tráfego de Gerenciamento e Monitoramento Remoto (RMM) e potencialmente roubassem credenciais.
Recomendações
Atualize o ConnectWise Automate para a versão 2025.9 ou posterior para impor HTTPS em todas as comunicações do agente.
Correção
RCE
Cleartext Transmission of Sensitive Information
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Connectwise Automate Agent