PT-2020-17048 · Openasset · Openasset Digital Asset Management

Jack Misiura · Publicado 2020-12-14 · Atualizado 2020-12-15 · CVE-2020-28861

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

OpenAsset Digital Asset Management (DAM), versões 12.0.19 e anteriores

Descrição

O problema está relacionado à falta de controles de acesso no endpoint “Stream/ProjectsCSV”, permitindo que invasores não autenticados acessem informações de projetos potencialmente confidenciais armazenadas pelo aplicativo.

Recomendações

Para as versões 12.0.19 e anteriores, considere desativar o acesso ao endpoint “Stream/ProjectsCSV” até que uma correção esteja disponível para implementar controles de acesso adequados. Restrinja o acesso a este endpoint para minimizar o risco de exploração.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

CVE-2020-28861

Produtos afetados

Openasset Digital Asset Management

Referências · 7

• 🔥 http://seclists.org/fulldisclosure/2020/Dec/22 · Exploit
• 🔥 http://packetstormsecurity.com/files/160457/OpenAsset-Digital-Asset-Management-Insecure-Direct-Object-Reference.html · Exploit
• https://osv.dev/vulnerability/CVE-2020-28861 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-28861 · Nota de Segurança
• https://themissinglink.com.au/security-advisories-cve-2020-28861 · Nota
• https://t.me/cibsecurity/20764 · Publicação no Telegram
• http://openasset.com · Aviso do Fabricante