PT-2021-20211 · Cleo · Cleo Lexicom

Stephen Breen · Publicado 2021-06-18 · Atualizado 2021-06-22 · CVE-2021-33576

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Cleo LexiCom versão 5.5.0.0

Descrição

Foi detectada uma falha no Cleo LexiCom que permite ao remetente especificar um nome de arquivo dentro da mensagem AS2. Esse nome de arquivo pode incluir caracteres de traversal de caminho, permitindo que o arquivo seja gravado em um local arbitrário no disco.

Recomendações

Para o Cleo LexiCom versão 5.5.0.0, como solução temporária, considere restringir a capacidade dos remetentes de especificar nomes de arquivos dentro de mensagens AS2 até que um patch esteja disponível. Além disso, restrinja o acesso a diretórios confidenciais para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-33576

Produtos afetados

Cleo Lexicom

Referências · 8

• 🔥 https://github.com/atredispartners/advisories/blob/master/ATREDIS-2020-0011.md · Exploit
• https://t.me/cvenotify/16683 · Publicação no Telegram
• https://t.me/cvenotify/16545 · Publicação no Telegram
• https://cleo.com/cleo-lexicom · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-33576 · Nota de Segurança
• https://t.me/cibsecurity/25545 · Publicação no Telegram
• https://t.me/cvenotify/16572 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-33576 · Aviso do Fabricante