PT-2021-17018 · Vembu · Vembuoffsitedr+1

Frank Breedijk + 1 · Publicado 2021-06-08 · Atualizado 2022-04-06 · CVE-2021-26472

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do VembuBDR anteriores à 4.2.0.1

Versões do VembuOffsiteDR anteriores à 4.2.0.1

Descrição

A vulnerabilidade permite que um invasor não autenticado execute comandos arbitrários do sistema operacional com privilégios de SISTEMA. Isso pode ser feito explorando a API http localizada em “/consumerweb/secure/download.php” usando um argumento de comando específico.

Recomendações

Para versões do VembuBDR anteriores à 4.2.0.1, atualize para a versão 4.2.0.1 ou posterior.

Para versões do VembuOffsiteDR anteriores à 4.2.0.1, atualize para a versão 4.2.0.1 ou posterior.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2021-26472

Produtos afetados

Vembubdr

Vembuoffsitedr

Referências · 9

• https://t.me/cvenotify/16313 · Publicação no Telegram
• https://wbsec.nl/vembu · Nota
• https://t.me/cvenotify/15888 · Publicação no Telegram
• https://csirt.divd.nl/cases/DIVD-2020-00011 · Nota
• https://t.me/cvenotify/15867 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-26472 · Aviso do Fabricante
• https://csirt.divd.nl/cves/CVE-2021-26472 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-26472 · Nota de Segurança
• https://csirt.divd.nl/2021/05/11/Vembu-zero-days · Nota