PT-2022-14941 · Unknown · Lansweeper

Icewall + 1 · Publicado 2022-04-14 · Atualizado 2022-04-21 · CVE-2022-21234

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Lansweeper versão 9.1.20.2

Descrição

Existe uma vulnerabilidade de injeção de SQL na funcionalidade EchoAssets.aspx. Uma solicitação HTTP especialmente criada pode causar injeção de SQL. Um invasor pode realizar uma solicitação HTTP autenticada para explorar essa vulnerabilidade.

Recomendações

Para a versão 9.1.20.2 do Lansweeper, considere restringir o acesso à funcionalidade EchoAssets.aspx até que uma correção esteja disponível. Como solução temporária, limite a capacidade de fazer solicitações HTTP autenticadas para essa funcionalidade, a fim de minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-21234

Produtos afetados

Lansweeper

Referências · 5

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2022-1443 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-21234 · Nota de Segurança
• https://t.me/cibsecurity/40809 · Publicação no Telegram
• https://lansweeper.com/changelog · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-21234 · Aviso do Fabricante