PT-2021-20864 · Unknown · Web Help Desk

Publicado 2021-12-23 · Atualizado 2022-01-07 · CVE-2021-35243

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Web Help Desk versões 12.7.7 e anteriores

Descrição:

Os métodos HTTP PUT e DELETE estavam habilitados no servidor web do Web Help Desk, permitindo que os usuários executassem solicitações HTTP perigosas. O método HTTP PUT é normalmente usado para fazer upload de dados salvos no servidor com uma URL fornecida pelo usuário. Já o método DELETE solicita que o servidor de origem remova a associação entre o recurso de destino e sua funcionalidade atual. O uso indevido desses métodos pode levar à perda de integridade.

Recomendações:

Para as versões 12.7.7 e anteriores, considere desativar os métodos HTTP PUT e DELETE para impedir que os usuários executem solicitações HTTP perigosas até que uma correção esteja disponível. Restrinja o acesso ao servidor web do Web Help Desk para minimizar o risco de exploração. Evite usar URLs fornecidas pelo usuário para enviar dados ao servidor.

Correção

Enumeração de Fraquezas

CWE-749

Identificadores relacionados

CVE-2021-35243

Produtos afetados

Web Help Desk

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2021-35243 · Nota de Segurança
• https://t.me/cvenotify/25102 · Publicação no Telegram
• https://t.me/cibsecurity/34596 · Publicação no Telegram
• https://t.me/cvenotify/24843 · Publicação no Telegram
• https://support.solarwinds.com/SuccessCenter/s/article/Web-Help-Desk-12-7-7-Hotfix-1-Release-Notes?language=en_US · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-35243 · Aviso do Fabricante
• https://solarwinds.com/trust-center/security-advisories/cve-2021-35243 · Aviso do Fabricante