PT-2021-19462 · Unknown · Smart Agent

Publicado 2021-01-26 · Atualizado 2021-02-02 · CVE-2021-3165

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

SmartAgent versão 3.1.0

Descrição

A vulnerabilidade permite que um invasor com permissão de leitura (ViewOnly) crie uma conta de superusuário por meio do endpoint da API “/#/CampaignManager/users”. Isso permite que o invasor eleve seus privilégios.

Recomendações

Para o SmartAgent versão 3.1.0, considere restringir o acesso ao endpoint da API “/#/CampaignManager/users” até que uma correção esteja disponível. Como solução temporária, limite a criação de novas contas de SuperUser para evitar possíveis explorações. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

CVE-2021-3165

Produtos afetados

Smart Agent

Referências · 8

• 🔥 https://packetstormsecurity.com/files/160906/SmartAgent-3.1.0-Privilege-Escalation.html · Exploit
• https://t.me/cvenotify/8992 · Publicação no Telegram
• https://t.me/cibsecurity/22694 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-3165 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-3165 · Aviso do Fabricante
• https://smtagent.com/support · Aviso do Fabricante
• https://orionhridoy.me · Nota
• https://t.me/cvenotify/9250 · Publicação no Telegram