PT-2022-21305 · Unknown · Portal Do Software Publico Brasileiro I3Geo+1

CVE-2022-32409 · Publicado 2022-07-14 · Atualizado 2023-08-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Portal do Software Público Brasileiro i3geo versão 7.0.5

Descrição

Uma vulnerabilidade de inclusão de arquivo local (LFI) no componente codemirror.php permite que invasores executem código PHP arbitrário por meio de uma solicitação HTTP maliciosa.

Recomendações

Para a versão 7.0.5, considere desativar o componente codemirror.php até que um patch esteja disponível para impedir a exploração da vulnerabilidade LFI.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-32409

Produtos afetados

Portal Do Software Publico Brasileiro I3Geo

Codemirror.Php

Referências · 6

• 🔥 https://github.com/wagnerdracha/ProofOfConcept/blob/main/i3geo_proof_of_concept.txt · Exploit
• https://t.me/cibsecurity/46287 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-32409 · Nota de Segurança
• https://t.me/cvenotify/33473 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-32409 · Aviso do Fabricante
• https://owasp.org/www-project-web-security-testing-guide/v42/4-Web_Application_Security_Testing/07-Input_Validation_Testing/11.1-Testing_for_Local_File_Inclusion · Nota