Unknown · Concrete Cms · CVE-2021-22969
**Nome do software vulnerável e versões afetadas**
Versões do Concrete CMS anteriores à 8.5.7
A versão 9.0.0 do Concrete CMS não é afetada, pois já inclui a correção.
**Descrição**
O problema diz respeito a uma contornagem da mitigação de SSRF por meio de um ataque de rebind de DNS, permitindo que um invasor obtenha chaves IAM do IAAS na nuvem. Para resolver isso, o Concrete CMS não permite mais downloads da rede local e especifica o IP validado durante o download, em vez de depender do DNS. Uma medida de mitigação para esse problema é garantir que as configurações do IMDS sigam as melhores práticas do provedor de nuvem.
**Recomendações**
Para versões do Concrete CMS anteriores à 8.5.7, atualize para a versão 8.5.7 ou posterior para corrigir o problema.
Para usuários que não possam atualizar imediatamente, considere implementar a mitigação, garantindo que as configurações do IMDS estejam de acordo com as melhores práticas do provedor de nuvem.
Como solução alternativa temporária, considere restringir downloads da rede local e especificar IPs validados durante o download para minimizar o risco de exploração.