PT-2022-16768 · Filecloud · Filecloud

Publicado 2022-02-22 · Atualizado 2022-03-02 · CVE-2022-24633

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do FileCloud anteriores à 21.3

Descrição

A vulnerabilidade permite a enumeração de usuários. Ela está presente no parâmetro path ao passar /SHARED/<username>. Um agente mal-intencionado poderia identificar a existência de usuários solicitando informações de compartilhamento em caminhos de compartilhamento especificados.

Recomendações

Para versões anteriores à 21.3, atualize para a versão 21.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao caminho /SHARED/<username> para minimizar o risco de exploração. Evite usar o parâmetro path com /SHARED/<username> no endpoint da API afetado até que o problema seja resolvido.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2022-24633

Produtos afetados

Filecloud

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2022-24633 · Nota de Segurança
• https://t.me/cibsecurity/37989 · Publicação no Telegram
• https://filecloud.com/supportdocs/display/cloud/Advisory+2022-01-1+User+enumeration+vulnerability · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-24633 · Aviso do Fabricante