PT-2022-19921 · Usu · Usu Oracle Optimization

Publicado 2022-04-29 · Atualizado 2022-05-11 · CVE-2022-29937

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do USU Oracle Optimization anteriores à 5.17.5

Descrição

A vulnerabilidade permite que usuários autenticados do DataCollection obtenham acesso root ao agente. Isso é possível porque, embora alguns comandos comuns do sistema operacional sejam bloqueados, outros, como o comando de decodificação base64, não são bloqueados. Ressalta-se que este não é um produto da Oracle Corporation.

Recomendações

Para versões anteriores à 5.17.5, atualize para a versão 5.17.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao comando do sistema operacional de decodificação base64 para minimizar o risco de exploração.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2022-29937

GHSA-XW3R-MQ8P-FJV5

Produtos afetados

Usu Oracle Optimization

Referências · 5

• 🔥 https://github.com/orangecertcc/security-research/security/advisories/GHSA-xw3r-mq8p-fjv5 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-29937 · Nota de Segurança
• https://t.me/cibsecurity/41663 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-29937 · Aviso do Fabricante
• https://t.me/cvenotify/29486 · Publicação no Telegram