PT-2022-14925 · Unknown · Lansweeper

Icewall + 1 · Publicado 2022-04-14 · Atualizado 2022-04-21 · CVE-2022-21210

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Lansweeper versão 9.1.20.2

Descrição

Existe uma vulnerabilidade de injeção de SQL na funcionalidade AssetActions.aspx. Uma solicitação HTTP especialmente criada pode causar injeção de SQL. Um invasor pode realizar uma solicitação HTTP autenticada para explorar essa vulnerabilidade.

Recomendações

Para a versão 9.1.20.2 do Lansweeper, considere restringir o acesso à funcionalidade AssetActions.aspx até que uma correção esteja disponível. Como solução temporária, limite a capacidade de fazer solicitações HTTP autenticadas para essa funcionalidade, a fim de minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-21210

Produtos afetados

Lansweeper

Referências · 5

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2022-1444 · Exploit
• https://osv.dev/vulnerability/CVE-2022-21210 · Aviso do Fabricante
• https://lansweeper.com/changelog · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21210 · Nota de Segurança
• https://t.me/cibsecurity/40820 · Publicação no Telegram