PT-2021-21118 · Unknown · Echo Sharecare

Nick Nam + 1 · Publicado 2021-07-13 · Atualizado 2021-07-15 · CVE-2021-36121

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Echo ShareCare versão 8.15.5

Descrição:

Foi detectada uma falha no recurso de envio de arquivos do Echo ShareCare, especificamente no arquivo Access/DownloadFeed Mnt/FileUpload Upd.cfm, que está sujeito a uma vulnerabilidade de envio irrestrito por meio do parâmetro name1. Essa vulnerabilidade permite que arquivos arbitrários sejam gravados em locais arbitrários do sistema de arquivos por meio de traversal de diretório ../ na unidade Z:, onde residem os arquivos do aplicativo ShareCare, e possibilita a execução remota de código como usuário do serviço ShareCare (NT AUTHORITYSYSTEM).

Recomendações:

Para o Echo ShareCare versão 8.15.5, considere desativar o recurso de upload de arquivos em Access/DownloadFeed Mnt/FileUpload Upd.cfm como uma solução temporária para impedir a exploração. Restrinja o acesso ao parâmetro name1 no recurso de upload de arquivos para minimizar o risco de uploads arbitrários de arquivos e execução remota de código.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2021-36121

Produtos afetados

Echo Sharecare

Referências · 4

• https://github.com/atredispartners/advisories/blob/master/ATREDIS-2021-0001.md · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-36121 · Nota de Segurança
• https://t.me/cvenotify/17531 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-36121 · Aviso do Fabricante