PT-2021-19796 · Connectwise · Connectwise Automate

Publicado 2021-06-17 · Atualizado 2021-06-22 · CVE-2021-32582

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do ConnectWise Automate anteriores à 2021.5

Descrição

Existe uma vulnerabilidade de injeção SQL cega na comunicação de inventário do agente principal, permitindo que um invasor extraia informações do banco de dados ou credenciais administrativas de uma instância por meio de respostas de status de monitoramento manipuladas.

Recomendações

Para versões anteriores à 2021.5, atualize para a versão 2021.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à comunicação de inventário do agente principal para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-32582

Produtos afetados

Connectwise Automate

Referências · 7

• https://osv.dev/vulnerability/CVE-2021-32582 · Aviso do Fabricante
• https://t.me/cvenotify/16676 · Publicação no Telegram
• https://t.me/cvenotify/16511 · Publicação no Telegram
• https://home.connectwise.com/securityBulletin/609a9dd75cb8450001e85369 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32582 · Nota de Segurança
• https://connectwise.com/company/trust/security-bulletins · Aviso do Fabricante
• https://connectwise.com/platform/unified-management/automate · Nota