PT-2022-17993 · Unknown · Tryton Application Platform

Jeremy Mousset · Publicado 2022-03-07 · Atualizado 2022-03-18 · CVE-2022-26661

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Tryton Application Platform (Servidor) versões 5.x a 5.0.45

Tryton Application Platform (Servidor) versões 6.x a 6.0.15

Tryton Application Platform (Servidor) versões 6.1.x a 6.2.5

Tryton Application Platform (Cliente de linha de comando (proteus)), versões 5.x a 5.0.11

Tryton Application Platform (Cliente de linha de comando (proteus)), versões 6.x a 6.0.4

Tryton Application Platform (Cliente de linha de comando (proteus)), versões 6.1.x a 6.2.1

Descrição

Foi descoberta uma vulnerabilidade XXE que permite que um usuário autenticado faça com que o servidor analise um arquivo XML SEPA malicioso para acessar arquivos arbitrários no sistema.

Recomendações

Para as versões 5.x a 5.0.45 da Tryton Application Platform (Servidor), atualize para uma versão posterior à 5.0.45.

Para as versões 6.x a 6.0.15 da Tryton Application Platform (Servidor), atualize para uma versão posterior à 6.0.15.

Para as versões 6.1.x a 6.2.5 da Tryton Application Platform (Servidor), atualize para uma versão posterior à 6.2.5.

Para as versões 5.x a 5.0.11 da Tryton Application Platform (Cliente de Linha de Comando (proteus)), atualize para uma versão posterior à 5.0.11.

Para as versões 6.x a 6.0.4 da Tryton Application Platform (Cliente de Linha de Comando (proteus)), atualize para uma versão posterior à 6.0.4.

Para as versões 6.1.x a 6.2.1 da Tryton Application Platform (Cliente de Linha de Comando (proteus)), atualize para uma versão posterior à 6.2.1.

Como solução alternativa temporária, considere restringir o acesso ao arquivo XML SEPA p

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2022-26661

DLA-2945-1

DLA-2946-1

DSA-5098-1

DSA-5099-1

GHSA-CJ78-RGW3-4H5P

PYSEC-2022-43170

Produtos afetados

Tryton Application Platform

Referências · 23

• 🔥 https://bugs.tryton.org/issue11219 · Exploit
• https://osv.dev/vulnerability/CVE-2022-26661 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-26661 · Aviso do Fabricante
• https://debian.org/security/2022/dsa-5098 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cj78-rgw3-4h5p · Aviso do Fabricante
• https://discuss.tryton.org/t/security-release-for-issue11219-and-issue11244/5059 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-26661 · Nota de Segurança
• https://osv.dev/vulnerability/DSA-5098-1 · Aviso do Fabricante
• https://foss.heptapod.net/tryton/tryton/-/issues/11219 · Nota
• https://osv.dev/vulnerability/DLA-2945-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-26661 · Aviso do Fabricante
• https://osv.dev/vulnerability/DSA-5099-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-26661 · Aviso do Fabricante
• https://hg.tryton.org/trytond · Nota
• https://osv.dev/vulnerability/PYSEC-2022-43170 · Aviso do Fabricante