PT-2021-22577 · Unknown · Mylittlebackup

Omriinbar · Publicado 2021-09-15 · Atualizado 2021-10-07 · CVE-2021-39392

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do MyLittleBackup até a 1.7, inclusive

Descrição:

A ferramenta de gerenciamento do MyLittleBackup permite que invasores remotos executem código arbitrário, pois o machineKey está codificado no web.config e pode ser usado para enviar código ASP serializado. Esse problema afeta todas as instalações dos clientes devido ao uso do mesmo machineKey codificado.

Recomendações:

Para as versões do MyLittleBackup até a 1.7, inclusive, considere alterar o machineKey codificado no web.config para um valor exclusivo para cada instalação como uma solução temporária. No entanto, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2021-39392

Produtos afetados

Mylittlebackup

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2021-39392 · Nota de Segurança
• https://gist.github.com/omriinbar/65827626e63f15e3e50557e2d9d61281 · Nota
• https://osv.dev/vulnerability/CVE-2021-39392 · Aviso do Fabricante
• https://t.me/cibsecurity/28926 · Publicação no Telegram
• http://mylittlebackup.com/mlb/zip/mlb_1.7.zip · Nota