PT-2020-14687 · Munki · Munkireport

Edouard Schweisguth · Publicado 2020-07-23 · Atualizado 2022-05-24 · CVE-2020-15886

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do MunkiReport anteriores à 3.5

Descrição

Uma vulnerabilidade de injeção de SQL no módulo reportdata permite que invasores executem comandos SQL arbitrários. Isso é feito através da manipulação do parâmetro req do endpoint “/module/reportdata/ip”.

Recomendações

Para versões anteriores à 3.5, considere restringir o acesso ao endpoint “/module/reportdata/ip” até que um patch esteja disponível. Como solução temporária, evite usar o parâmetro req no endpoint afetado para minimizar o risco de exploração. Atualize para a versão 3.5 ou posterior para resolver o problema.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-15886

GHSA-QVW9-6567-WQ78

Produtos afetados

Munkireport

Referências · 9

• https://github.com/munkireport/munkireport-php/wiki/20200722-SQL-Injection-In-Reportdata-Ip-In-%27req%27-GET-Parameter · Nota
• https://github.com/munkireport/munkireport-php/releases/tag/v5.6.3 · Nota
• https://github.com/munkireport/munkireport-php/releases · Nota
• https://github.com/munkireport/reportdata/releases · Nota
• https://github.com/munkireport/reportdata · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-15886 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-15886 · Aviso do Fabricante
• https://github.com/munkireport/munkireport-php/wiki/20200722-SQL-Injection-In-Reportdata-Ip-In-\'req\'-GET-Parameter · Nota
• https://osv.dev/vulnerability/GHSA-qvw9-6567-wq78 · Aviso do Fabricante