PT-2020-9967 · Dell Emc · Dell Emc Data Protection Advisor
Publicado
2020-03-18
·
Atualizado
2020-03-24
·
CVE-2019-18581
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Dell EMC Data Protection Advisor, versões 6.3 a 6.5
Dell EMC Data Protection Advisor, versão 18.2 anterior à correção 83
Dell EMC Data Protection Advisor, versão 19.1 anterior à correção 71
Descrição:
O problema diz respeito a uma vulnerabilidade de falta de autorização no servidor na API REST. Um usuário mal-intencionado autenticado remotamente com privilégios administrativos pode potencialmente explorar essa vulnerabilidade para alterar a lista de comandos do sistema operacional permitidos pelo aplicativo, levando à execução arbitrária de comandos do sistema operacional quando o usuário regular executa o serviço DPA no sistema afetado.
Recomendações:
Para as versões 6.3 a 6.5, aplique os patches ou atualizações necessários para corrigir a vulnerabilidade de falta de autorização na API REST.
Para a versão 18.2, aplique o patch 83 ou posterior para resolver o problema.
Para a versão 19.1, aplique o patch 71 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso à API REST até que um patch seja aplicado.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Dell Emc Data Protection Advisor