PT-2020-15882 · Qnap · Helpdesk

Yoni Ramon · Publicado 2020-07-01 · Atualizado 2020-07-10 · CVE-2020-2500

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Helpdesk anteriores à 3.0.1

Descrição

Esta vulnerabilidade permite que invasores obtenham controle do serviço QNAP Kayako devido a um controle de acesso inadequado no Helpdesk. Os invasores podem acessar dados confidenciais no servidor QNAP Kayako utilizando chaves de API.

Recomendações

Para versões anteriores à 3.0.1, atualize para a versão 3.0.1 ou posterior para resolver o problema. Como solução temporária, considere substituir a chave API para mitigar a vulnerabilidade. Restrinja o acesso a dados confidenciais no servidor QNAP Kayako até que o problema seja resolvido.

Correção

Improper Access Control

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-284

CWE-798

CWE-321

Identificadores relacionados

CVE-2020-2500

Produtos afetados

Helpdesk

Referências · 4

• https://osv.dev/vulnerability/CVE-2020-2500 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-2500 · Nota de Segurança
• https://qnap.com/zh-tw/security-advisory/qsa-20-03 · Aviso do Fabricante
• https://t.me/cvenotify/4777 · Publicação no Telegram