PT-2022-20649 · Morpheus · Morpheus

Publicado 2022-05-24 · Atualizado 2022-06-08 · CVE-2022-31261

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 5.2.0 a 5.2.16 do Morpheus

Versões 5.4.0 a 5.4.4 do Morpheus

Descrição

Foi descoberta uma vulnerabilidade XXE que permite que um invasor remoto leia arquivos locais enviando uma solicitação criada com uma carga XXE para invocar um DTD malicioso hospedado em um sistema sob seu controle. Isso requer que um provedor de identidade SAML esteja configurado e que o invasor conheça o ID de retorno de chamada SAML exclusivo da fonte de identidade configurada.

Recomendações

Para as versões 5.2.0 a 5.2.16 do Morpheus, atualize para uma versão posterior à 5.2.16 para resolver o problema.

Para as versões 5.4.0 a 5.4.4 do Morpheus, atualize para uma versão posterior à 5.4.4 para resolver o problema.

Como solução alternativa temporária, considere desativar a configuração do provedor de identidade SAML até que um patch esteja disponível.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2022-31261

Produtos afetados

Morpheus

Referências · 5

• https://support.morpheusdata.com/s/?language=en_US · Aviso do Fabricante
• https://docs.morpheusdata.com/en/5.4.4/release_notes/current.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31261 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-31261 · Aviso do Fabricante
• https://t.me/cibsecurity/43262 · Publicação no Telegram