CVE-2024-58406

Nome do Software Vulnerável e Versões Afetadas Huatian Dynamic OA8000 (versões afetadas não especificadas)

Description Um problema de salto de diretório (path traversal) não autenticado existe no endpoint '/OAapp/jsp/trace/ntkodownload.jsp'. O parâmetro de solicitação filename é utilizado para localizar arquivos sem restringir o acesso ao diretório pretendido ou rejeitar sequências de salto. Isso permite que atacantes usem sequências ../ para ler arquivos arbitrários do servidor, como a configuração do Tomcat em 'ROOT/WEB-INF/web.xml', expondo potencialmente configurações sensíveis, código-fonte e credenciais. A exploração no mundo real foi observada pela primeira vez pela Shadowserver Foundation em 20-11-2024.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro filename no endpoint '/OAapp/jsp/trace/ntkodownload.jsp' até que o problema seja resolvido.