PT-2020-12642 · Zen · Zen Load Balancer

Code16 · Publicado 2020-04-02 · Atualizado 2020-04-06 · CVE-2020-11490

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Zen Load Balancer versão 3.10.1

Descrição

A vulnerabilidade permite que administradores autenticados remotamente executem comandos arbitrários do sistema operacional por meio de metacaracteres de shell em determinados parâmetros. Especificamente, os parâmetros cert issuer, cert division, cert organization, cert locality, cert state, cert country ou cert email no index.cgi estão vulneráveis.

Recomendações

Para o Zen Load Balancer versão 3.10.1, considere restringir o acesso ao index.cgi até que um patch esteja disponível e evite usar metacaracteres de shell nos parâmetros cert issuer, cert division, cert organization, cert locality, cert state, cert country ou cert email para minimizar o risco de exploração.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2020-11490

Produtos afetados

Zen Load Balancer

Referências · 4

• 🔥 https://github.com/c610/tmp/blob/master/zenload4patreons.zip · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-11490 · Nota de Segurança
• http://code610.blogspot.com/2020/03/pentesting-zen-load-balancer-quick.html · Nota
• https://osv.dev/vulnerability/CVE-2020-11490 · Aviso do Fabricante