PT-2020-12618 · Microstrategy · Microstrategy Web

Publicado 2020-04-02 · Atualizado 2020-04-03 · CVE-2020-11452

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Microstrategy Web versão 10.4

Descrição

A vulnerabilidade permite que usuários importem arquivos ou dados de recursos externos, como URLs ou bancos de dados. Ao fornecer uma URL externa sob o controle do invasor, é possível enviar solicitações a recursos externos (também conhecido como Server-Side Request Forgery ou SSRF) ou vazar arquivos do sistema local usando o wrapper de fluxo file://.

Recomendações

Para o Microstrategy Web versão 10.4, considere restringir a funcionalidade de importação apenas a fontes confiáveis para minimizar o risco de exploração. Como solução temporária, restrinja o acesso a URLs externos e ao wrapper de fluxo file:// até que um patch esteja disponível.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2020-11452

Produtos afetados

Microstrategy Web

Referências · 7

• 🔥 http://packetstormsecurity.com/files/157068/MicroStrategy-Intelligence-Server-And-Web-10.4-XSS-Disclosure-SSRF-Code-Execution.html · Exploit
• 🔥 https://redtimmy.com/web-application-hacking/another-ssrf-another-rce-the-microstrategy-case · Exploit
• https://t.me/cvenotify/2366 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-11452 · Aviso do Fabricante
• https://community.microstrategy.com/s/article/Web-Services-Security-Vulnerability · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-11452 · Nota de Segurança
• http://seclists.org/fulldisclosure/2020/Apr/1 · Nota