PT-2022-16006 · Nepxion · Nepxion Discovery

Jorge Rosillo + 1 · Publicado 2022-09-24 · Atualizado 2022-09-28 · CVE-2022-23464

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Nepxion Discovery (versões afetadas não especificadas)

Descrição

O problema está relacionado a uma potencial falsificação de solicitação do lado do servidor (SSRF) no Nepxion Discovery, uma solução para o Spring Cloud. Especificamente, o RouterResourceImpl utiliza o método getForEntity do RestTemplate para recuperar o conteúdo de uma URL contendo entradas controladas pelo usuário, o que pode resultar em divulgação de informações. Não há soluções alternativas ou patches disponíveis para este problema no momento da publicação.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2022-23464

GHSA-HHXH-QPHC-V423

Produtos afetados

Nepxion Discovery

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23464.json · Exploit
• 🔥 https://securitylab.github.com/advisories/GHSL-2022-033_GHSL-2022-034_Discovery · Exploit
• https://github.com/Nepxion/Discovery · Nota
• https://osv.dev/vulnerability/GHSA-hhxh-qphc-v423 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23464 · Nota de Segurança
• https://t.me/cvenotify/36792 · Publicação no Telegram
• https://t.me/cvenotify/36781 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23464 · Aviso do Fabricante