PT-2021-22990 · Genesys · Genesys Intelligent Workload Distribution

Gabor Szivos · Publicado 2021-12-08 · Atualizado 2021-12-13 · CVE-2021-40861

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Genesys Intelligent Workload Distribution (IWD) versão 9.0.017.07

Descrição

Uma vulnerabilidade de injeção de SQL no componente de consulta de filtro personalizado permite que um invasor execute consultas SQL arbitrárias por meio do atributo value. Isso possibilita a extração de todos os dados do banco de dados e, potencialmente, permite a execução de comandos do sistema operacional, dependendo das permissões e/ou do mecanismo do banco de dados.

Recomendações

Para o Genesys Intelligent Workload Distribution (IWD) versão 9.0.017.07, considere restringir o acesso ao componente de consulta de filtro personalizado para minimizar o risco de exploração. Evite usar o atributo value no componente afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-40861

Produtos afetados

Genesys Intelligent Workload Distribution

Referências · 4

• 🔥 https://offensity.com/en/blog/authenticated-sql-injection-in-the-genesys-iwd-manager-cve-2021-40860-and-cve-2021-40861 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-40861 · Nota de Segurança
• https://docs.genesys.com/Documentation/IWD · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-40861 · Aviso do Fabricante