PT-2020-9977 · Harris · Harris Ormed Self Service

Jake Rawlins + 1 · Publicado 2020-03-25 · Atualizado 2021-07-21 · CVE-2019-18626

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Harris Ormed Self Service anteriores à 2019.1.4

Descrição:

A vulnerabilidade permite que um usuário autenticado visualize formulários W-2 pertencentes a outros usuários por meio de um valor empNo arbitrário na URI “ORMEDMIS/Data/PY/T4W2Service.svc/RetrieveW2EntriesForEmployee”, expondo assim informações confidenciais, incluindo informações fiscais dos funcionários, números de previdência social, endereços residenciais e muito mais.

Recomendações:

Para versões anteriores à 2019.1.4, atualize para a versão 2019.1.4 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso à URI “ORMEDMIS/Data/PY/T4W2Service.svc/RetrieveW2EntriesForEmployee” para minimizar o risco de exploração.

Evite usar valores arbitrários de empNo na URI afetada até que o problema seja resolvido.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2019-18626

Produtos afetados

Harris Ormed Self Service

Referências · 5

• https://github.com/fireeye/Vulnerability-Disclosures/blob/master/FEYE-2019-0011/FEYE-2019-0011.md · Nota
• https://osv.dev/vulnerability/CVE-2019-18626 · Aviso do Fabricante
• https://t.me/cvenotify/2144 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2019-18626 · Nota de Segurança
• https://t.me/cibsecurity/10735 · Publicação no Telegram