PT-2020-15192 · Apache · Apache Syncope

Publicado 2020-05-04 · Atualizado 2021-07-21 · CVE-2020-1959

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Syncope anteriores à 2.1.6

Descrição

Uma falha de injeção de modelo no lado do servidor permite que invasores injetem expressões Java EL arbitrárias, levando a uma vulnerabilidade de execução remota de código (RCE) sem autenticação. O Apache Syncope utiliza validadores de restrições personalizados do Java Bean Validation que suportam interpolação, incluindo expressões Java EL. Se um invasor conseguir injetar dados arbitrários no modelo de mensagem de erro, ele poderá executar código Java arbitrário.

Recomendações

Para versões anteriores à 2.1.6, atualize para a versão 2.1.6 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a mensagens de erro de violação de restrições personalizadas para minimizar o risco de exploração. Evite usar expressões Java EL em modelos de mensagens de erro até que o problema seja resolvido.

Correção

Enumeração de Fraquezas

CWE-917

Identificadores relacionados

CVE-2020-1959

GHSA-VJQW-R3WW-WJ2W

Produtos afetados

Apache Syncope

Referências · 5

• http://syncope.apache.org/security · Aviso do Fabricante
• https://t.me/cvenotify/3509 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vjqw-r3ww-wj2w · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-1959 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-1959 · Nota de Segurança