PT-2020-12770 · Castel · Castel Nextgen Dvr

Publicado 2020-06-04 · Atualizado 2020-06-10 · CVE-2020-11682

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Castel NextGen DVR versão 1.0.0

Descrição

O problema diz respeito a uma vulnerabilidade CSRF em solicitações que alteram o estado. Um RequestVerificationToken é definido pela interface web e incluído nas solicitações enviadas por ela. No entanto, esse token não é verificado pelo aplicativo, permitindo que ele seja removido de todas as solicitações sem impedir que a solicitação seja bem-sucedida.

Recomendações

Para o Castel NextGen DVR versão 1.0.0, como solução temporária, considere implementar um mecanismo de verificação personalizado para o RequestVerificationToken a fim de garantir sua presença e validade em todas as solicitações de alteração de estado até que um patch esteja disponível.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-11682

Produtos afetados

Castel Nextgen Dvr

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2020-11682 · Nota de Segurança
• http://packetstormsecurity.com/files/157954/Castel-NextGen-DVR-1.0.0-Bypass-CSRF-Disclosure.html · Nota
• https://securitymetrics.com/blog/where-did-request-come-from-cross-site-request-forgery-csrf · Nota
• http://seclists.org/fulldisclosure/2020/Jun/8 · Nota
• https://t.me/cvenotify/4217 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-11682 · Aviso do Fabricante