PT-2022-15685 · Sysaid · Sysaid

Publicado 2022-01-11 · Atualizado 2022-05-23 · CVE-2022-22796

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Sysaid (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que um invasor contorne o processo de autenticação. Isso pode ser feito acessando o endpoint da API “/wmiwizard.jsp”, navegando até o endpoint “/ConcurrentLogin.jsp” e clicando no botão de login, o que redireciona para o endpoint “/home.jsp” sem exigir qualquer autenticação.

Recomendações

Como solução temporária, considere restringir o acesso aos pontos finais da API “/wmiwizard.jsp”, “/ConcurrentLogin.jsp” e “/home.jsp” até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Authentication

Path traversal

Enumeração de Fraquezas

CWE-287

CWE-22

CWE-73

Identificadores relacionados

BDU:2023-08591

CVE-2022-22796

Produtos afetados

Sysaid

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2022-22796 · Nota de Segurança
• https://t.me/cibsecurity/42564 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2023-08591 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-22796 · Aviso do Fabricante
• https://vuldb.com/ru/?id.199807 · Nota
• https://community.sysaid.com/help-desk-16/cve-2022-22796-and-cve-2022-23166-fix-availability-12696 · Nota
• https://gov.il/en/departments/faq/cve_advisories · Nota