PT-2020-18393 · Whitesource · Whitesource Application Vulnerability Management

Publicado 2020-06-08 · Atualizado 2021-07-21 · CVE-2020-5304

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do WhiteSource Application Vulnerability Management (AVM) anteriores à 20.4.1

Descrição

A vulnerabilidade permite a injeção de log por meio de uma subcadeia %0A%0D no parâmetro idp do endpoint da API “/saml/login”. Isso pode fechar o log atual e criar um novo log com uma única linha de dados, permitindo também a inserção de dados maliciosos e entradas falsas.

Recomendações

Para versões anteriores à 20.4.1, atualize para a versão 20.4.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API “/saml/login” para minimizar o risco de exploração e evite usar o parâmetro idp até que o problema seja resolvido.

Exploit

Correção

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-116

Identificadores relacionados

CVE-2020-5304

Produtos afetados

Whitesource Application Vulnerability Management

Referências · 5

• 🔥 https://medium.com/@venkatajayaram.yalla/whitesource-log-injection-vulnerability-cve-2020-5304-e543b7943c2b · Exploit
• https://whitesourcesoftware.com/oss_security_vulnerabilities · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-5304 · Nota de Segurança
• https://medium.com/%40venkatajayaram.yalla/whitesource-log-injection-vulnerability-cve-2020-5304-e543b7943c2b · Nota
• https://osv.dev/vulnerability/CVE-2020-5304 · Aviso do Fabricante