PT-2021-12593 · Bosch · Bosch Praesideo+1
Gjoko Krstic
·
Publicado
2021-01-14
·
Atualizado
2021-01-22
·
CVE-2020-6776
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
Bosch PRAESIDEO, versões 4.31 a 4.41
Bosch PRAESENSA, versões 1.00 a 1.10
Descrição:
Uma vulnerabilidade na interface de gerenciamento baseada na web permite que um invasor remoto não autenticado execute ações em um sistema afetado em nome de outro usuário, o que é conhecido como Cross-Site Request Forgery (CSRF). Isso requer que a vítima seja induzida a clicar em um link malicioso ou enviar um formulário malicioso. Uma exploração bem-sucedida permite que o invasor execute ações arbitrárias com os privilégios da vítima, como criar e modificar contas de usuário, alterar configurações do sistema e causar condições de DoS. Para o Bosch PRAESIDEO 4.31 e versões mais recentes e para o Bosch PRAESENSA em todas as versões, o impacto na confidencialidade é considerado baixo, pois as credenciais do usuário não são exibidas na interface web.
Recomendações:
Para as versões 4.31 a 4.41 do Bosch PRAESIDEO, atualize para uma versão posterior à 4.41 para resolver o problema.
Para as versões 1.00 a 1.10 do Bosch PRAESENSA, atualize para uma versão posterior à 1.10 para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso à interface de gerenciamento baseada na web para minimizar o risco de exploração.
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Bosch Praesensa
Bosch Praesideo