PT-2022-19784 · Delta Industrial Automation · Dialink

4Er · Publicado 2022-12-01 · Atualizado 2023-05-17 · CVE-2022-2969

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Delta Industrial Automation DIALink anteriores à v1.5.0.0 Beta 4

Descrição

O problema decorre da falha do software em neutralizar adequadamente elementos especiais dentro de um nome de caminho construído a partir de entrada externa. Esse nome de caminho tem como objetivo identificar um arquivo ou diretório localizado abaixo de um diretório pai restrito. No entanto, devido à falta de neutralização adequada, o nome de caminho pode ser resolvido para um local fora do diretório restrito, levando potencialmente a acesso não autorizado ou à criação de arquivos.

Recomendações

Para versões anteriores à v1.5.0.0 Beta 4, atualize para a versão v1.5.0.0 Beta 4 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir a entrada externa para impedir a construção de nomes de caminho maliciosos até que um patch seja aplicado.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-2969

ZDI-23-671

Produtos afetados

Dialink

Referências · 5

• https://t.me/cibsecurity/53776 · Publicação no Telegram
• https://cisa.gov/uscert/ics/advisories/icsa-22-307-03 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-2969 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-23-671 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-2969 · Aviso do Fabricante