PT-2021-17171 · Netmotion · Netmotion Mobility

Steven Seeley · Publicado 2021-02-08 · Atualizado 2021-05-21 · CVE-2021-26914

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.3

Alta

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:C

**Nome do software vulnerável e versões afetadas:

Versões do NetMotion Mobility anteriores à 11.73

Versões 12.x do NetMotion Mobility anteriores à 12.02

Descrição:

A vulnerabilidade permite que invasores remotos não autenticados executem código arbitrário como SYSTEM devido à deserialização Java em MvcUtil valueStringToObject.

Recomendações:

Para versões anteriores à 11.73, atualize para a versão 11.73 ou posterior.

Para versões 12.x anteriores à 12.02, atualize para a versão 12.02 ou posterior.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2021-26914

Produtos afetados

Netmotion Mobility

Referências · 9

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/windows/http/netmotion_mobility_mvcutil_deserialization.rb · Exploit
• 🔥 https://ssd-disclosure.com/?p=4676 · Exploit
• 🔥 http://packetstormsecurity.com/files/162617/NetMotion-Mobility-Server-MvcUtil-Java-Deserialization.html · Exploit
• 🔥 https://ssd-disclosure.com/ssd-advisory-netmotion-mobility-server-multiple-deserialization-of-untrusted-data-lead-to-rce · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-26914 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-26914 · Aviso do Fabricante
• https://netmotionsoftware.com/security-advisories/security-vulnerability-in-mobility-web-server-november-19-2020 · Aviso do Fabricante
• https://t.me/cibsecurity/23274 · Publicação no Telegram
• https://t.me/cvenotify/14828 · Publicação no Telegram