PT-2021-12820 · Iportalis · Iportalis Ics

Publicado 2021-09-01 · Atualizado 2021-09-09 · CVE-2020-9002

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AC:L/AV:N/A:N/C:H/I:H/PR:L/S:C/UI:N

**Nome do software vulnerável e versões afetadas:

iPortalis iCS versão 7.1.13.0

Descrição:

Uma falha permite que um invasor obtenha privilégios ao interceptar uma solicitação e modificar o parâmetro UserRoleKey de COMPANY ADMIN para DOMAIN ADMIN, a fim de obter acesso de administrador de domínio.

Recomendações:

Para o iPortalis iCS versão 7.1.13.0, considere restringir o acesso a solicitações que contenham o parâmetro UserRoleKey para minimizar o risco de exploração. Como solução alternativa temporária, monitore e valide todas as solicitações que tentem alterar o UserRoleKey para DOMAIN ADMIN. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2020-9002

Produtos afetados

Iportalis Ics

Referências · 7

• https://t.me/cvenotify/20494 · Publicação no Telegram
• https://t.me/cvenotify/20563 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-9002 · Aviso do Fabricante
• https://websec.nl/blog · Nota
• https://t.me/cibsecurity/28150 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-9002 · Nota de Segurança
• https://websec.nl/blog/6127847280e759c7d31286d0/cve%20report%20august%202021 · Nota