PT-2022-17681 · Irisnet · Irisnext

CVE-2022-26111 · Publicado 2022-04-25 · Atualizado 2023-08-08

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do IRISNext até a 9.8.28

Descrição

A vulnerabilidade permite a execução de comandos arbitrários no servidor de destino por meio da criação de uma pesquisa personalizada ou da edição de uma pesquisa existente nos documentos. Os componentes de pesquisa permitem a adição de expressões BeanShell que resultam na execução remota de código no contexto do usuário do aplicativo IRISNext, em execução no servidor web.

Recomendações

Para versões até a 9.8.28, considere restringir o acesso aos componentes de pesquisa para minimizar o risco de exploração. Como solução temporária, evite usar as expressões BeanShell na funcionalidade de pesquisa até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-917

Identificadores relacionados

CVE-2022-26111

Produtos afetados

Irisnext

Referências · 5

• 🔥 https://github.com/post-cyberlabs/CVE-Advisory/blob/main/CVE-2022-26111.pdf · Exploit
• https://t.me/cibsecurity/41387 · Publicação no Telegram
• https://varsnext.iriscorporate.com · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-26111 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-26111 · Nota de Segurança