PT-2021-17102 · Squarebox · Squarebox Catdv Server

Publicado 2021-03-05 · Atualizado 2021-03-13 · CVE-2021-26705

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do SquareBox CatDV Server até a 9.2

Descrição

Foi descoberta uma vulnerabilidade no SquareBox CatDV Server, na qual um invasor pode invocar métodos RMI confidenciais, como getConnections, sem autenticação. Os resultados desses métodos podem ser usados para gerar tokens de autenticação válidos, que, por sua vez, podem ser utilizados para executar tarefas administrativas dentro do aplicativo, como a divulgação de hashes de senhas.

Recomendações

Para as versões do SquareBox CatDV Server até a 9.2, considere desativar o método getConnections até que um patch esteja disponível para impedir o acesso não autorizado a informações confidenciais. Restrinja o acesso a tarefas administrativas para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2021-26705

Produtos afetados

Squarebox Catdv Server

Referências · 5

• 🔥 https://exploit-db.com/exploits/49621 · Exploit
• https://t.me/cvenotify/11292 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-26705 · Aviso do Fabricante
• https://t.me/cibsecurity/24557 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-26705 · Nota de Segurança