PT-2020-5351 · Solarwinds · Solarwinds Database Performance Analyzer

James Otten · Publicado 2020-12-15 · Atualizado 2020-12-17 · CVE-2018-16243

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

SolarWinds Database Performance Analyzer (DPA), versões 11.1.468 a 12.0.3074

Descrição

O problema está relacionado à falta de proteção da estrutura da página da web, permitindo que um invasor remoto execute um ataque de script entre sites (XSS). Isso pode ser explorado por meio de vários componentes, incluindo logViewer.iwc, centralManage.cen, userAdministration.iwc, database.iwc, alertManagement.iwc, eventAnnotations.iwc e central.cen.

Recomendações

Para as versões 11.1.468 a 12.0.3074, considere desativar o acesso aos componentes afetados, como logViewer.iwc, centralManage.cen, userAdministration.iwc, database.iwc, alertManagement.iwc, eventAnnotations.iwc e central.cen, até que uma correção esteja disponível. Restrinja o uso desses componentes para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2021-00199

CVE-2018-16243

Produtos afetados

Solarwinds Database Performance Analyzer

Referências · 6

• https://osv.dev/vulnerability/CVE-2018-16243 · Aviso do Fabricante
• https://gist.github.com/james-otten/d3ee2f0fccc3b87aafe1616a6c2c2d4e · Nota
• https://bdu.fstec.ru/vul/2021-00199 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2018-16243 · Nota de Segurança
• https://t.me/cibsecurity/20894 · Publicação no Telegram
• https://cxsecurity.com/cveshow/CVE-2018-16243 · Nota