PT-2020-6292 · Micro Focus · Operation Bridge Reporter

Pedrib1337 + 1 · Publicado 2020-09-30 · Atualizado 2025-03-12 · CVE-2021-22502

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Micro Focus Operation Bridge Reporter versão 10.40

Descrição

O problema está relacionado a uma vulnerabilidade de execução remota de código no produto Micro Focus Operation Bridge Reporter. Ela poderia ser explorada para permitir a execução remota de código no servidor OBR. A vulnerabilidade está associada ao tratamento incorreto de parâmetros no endpoint LogonResource. Isso poderia permitir que um invasor remoto executasse código arbitrário.

Recomendações

Para a versão 10.40, considere desativar o endpoint LogonResource ou restringir o acesso a ele até que uma correção esteja disponível. Além disso, tenha cuidado ao usar os parâmetros userName e token nos endpoints da API afetados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

Code Injection

OS Command Injection

Enumeração de Fraquezas

CWE-94

CWE-78

Identificadores relacionados

BDU:2021-04036

CVE-2021-22502

ZDI-21-153

ZDI-21-154

Produtos afetados

Operation Bridge Reporter

Referências · 16

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/microfocus_obr_cmd_injection.rb · Exploit
• 🔥 http://packetstormsecurity.com/files/162408/Micro-Focus-Operations-Bridge-Reporter-Unauthenticated-Command-Injection.html · Exploit
• https://zerodayinitiative.com/advisories/ZDI-21-153 · Nota de Segurança
• https://blogs.juniper.net/en-us/security/freshly-disclosed-vulnerability-cve-2021-20090-exploited-in-the-wild · Nota
• https://bdu.fstec.ru/vul/2021-04036 · Nota de Segurança
• https://t.me/cybersecuritytechnologies/2925 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-21-154 · Nota de Segurança
• https://softwaresupport.softwaregrp.com/doc/KM03775947 · Aviso do Fabricante
• https://cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv · Nota
• https://t.me/cibsecurity/23262 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-22502 · Nota de Segurança
• https://t.me/cvenotify/87454 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-22502 · Aviso do Fabricante
• https://t.me/cvenotify/114528 · Publicação no Telegram
• https://t.me/cvenotify/9639 · Publicação no Telegram