PT-2020-14672 · Stimulsoft · Stimulsoft Reports

Burninator · Publicado 2020-08-18 · Atualizado 2021-07-21 · CVE-2020-15865

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Stimulsoft (também conhecido como Stimulsoft Reports) versão 2013.1.1600.0

Descrição

Uma falha de execução remota de código permite que um invasor codifique scripts C# em base-64 no arquivo XML do relatório, os quais serão compilados e executados no servidor que processa esse arquivo, podendo comprometer totalmente o servidor.

Recomendações

Para o Stimulsoft (também conhecido como Stimulsoft Reports) versão 2013.1.1600.0, considere restringir o acesso ao arquivo XML do relatório para minimizar o risco de exploração até que uma correção esteja disponível. Como solução alternativa temporária, considere validar e sanitizar a entrada no arquivo XML do relatório para impedir que scripts C# maliciosos sejam executados.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2020-15865

Produtos afetados

Stimulsoft Reports

Referências · 3

• 🔥 http://burninatorsec.blogspot.com/2018/11/reporting-c-serialization-remote-code.html · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2020-15865 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-15865 · Aviso do Fabricante