PT-2021-21321 · Synerion · Synerion Timenet

Publicado 2021-09-07 · Atualizado 2021-12-16 · CVE-2021-36717

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Synerion TimeNet versão 9.21

Descrição

A vulnerabilidade permite que um invasor execute um ataque de traversal de diretório usando um navegador da web e algum conhecimento sobre os arquivos e diretórios padrão do sistema. No parâmetro Name, o invasor pode retornar ao diretório raiz e abrir o arquivo host, o que potencialmente lhe dá a capacidade de visualizar arquivos restritos. Isso poderia fornecer ao invasor mais informações necessárias para comprometer ainda mais o sistema.

Recomendações

Para o Synerion TimeNet versão 9.21, considere restringir o acesso ao parâmetro Name para minimizar o risco de exploração. Como solução temporária, evite usar o parâmetro Name de forma que permita a traversal de diretórios até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-36717

Produtos afetados

Synerion Timenet

Referências · 5

• https://gov.il/en/departments/faq/cve_advisories · Nota
• https://osv.dev/vulnerability/CVE-2021-36717 · Aviso do Fabricante
• https://t.me/cvenotify/20963 · Publicação no Telegram
• https://t.me/cibsecurity/28340 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-36717 · Nota de Segurança