PT-2021-17034 · Unknown · Octopus Server

Robert Chen · Publicado 2021-10-07 · Atualizado 2022-07-27 · CVE-2021-26556

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Octopus Server (versões afetadas não especificadas)

Descrição

O problema ocorre quando o Octopus Server é instalado em uma pasta personalizada, resultando em ACLs (listas de controle de acesso) incorretas na pasta. Isso poderia permitir que um usuário sem privilégios explorasse o carregamento lateral de DLLs, obtendo potencialmente acesso privilegiado.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Untrusted Search Path

Enumeração de Fraquezas

CWE-426

Identificadores relacionados

CVE-2021-26556

Produtos afetados

Octopus Server

Referências · 4

• https://t.me/cvenotify/22048 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-26556 · Nota de Segurança
• https://advisories.octopus.com/adv/2021-01---Local-privilege-escalation-in-Octopus-Server-%28CVE-2021-26556%29.1733296189.html · Nota
• https://osv.dev/vulnerability/CVE-2021-26556 · Aviso do Fabricante