PT-2021-21264 · Cerner · Cerner Mobile Care

Publicado 2021-08-24 · Atualizado 2021-08-31 · CVE-2021-36385

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Cerner Mobile Care versão 5.0.0

Descrição

Uma vulnerabilidade de injeção de SQL permite que invasores remotos não autenticados executem comandos SQL arbitrários por meio de um apóstrofo de largura total (também conhecido como U+FF07) no campo User ID da página “default.aspx”. Isso pode levar à execução de comandos de sistema arbitrários através do uso de xp cmdshell.

Recomendações

Para o Cerner Mobile Care versão 5.0.0, considere restringir o acesso à página default.aspx ou desativar o uso do campo User ID até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o campo User ID com caracteres especiais, como o apóstrofo de largura total (U+FF07), para minimizar o risco de exploração.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-36385

Produtos afetados

Cerner Mobile Care

Referências · 7

• https://t.me/cvenotify/20415 · Publicação no Telegram
• https://blacklanternsecurity.com/blog · Nota
• https://osv.dev/vulnerability/CVE-2021-36385 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-36385 · Nota de Segurança
• https://blacklanternsecurity.com/2021-08-13-Cerner-MobileCare-CVE · Nota
• https://cerner.com/solutions/mobility · Aviso do Fabricante
• https://t.me/cibsecurity/27761 · Publicação no Telegram