PT-2022-22411 · Vicidial · Vicidial

H00Die · Publicado 2022-07-05 · Atualizado 2022-07-13 · CVE-2022-34876

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do VICIdial anteriores à 3555

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de SQL na interface de administração do VICIdial, afetando especificamente o endpoint /vicidial/admin.php por meio dos parâmetros modify email accounts, access recordings e agentcall email. Isso permite que um invasor falsifique identidades, altere dados existentes, divulgue todos os dados do sistema, destrua dados ou assuma o controle do servidor de banco de dados.

Recomendações

Para versões do VICIdial anteriores à 3555, atualize para uma versão que inclua a correção para este problema a fim de evitar a exploração. Como solução temporária, considere restringir o acesso ao endpoint /vicidial/admin.php e limitar o uso dos parâmetros modify email accounts, access recordings e agentcall email até que um patch esteja disponível.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-34876

Produtos afetados

Vicidial

Referências · 7

• 🔥 https://github.com/rapid7/metasploit-framework/pull/16732 · Exploit
• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/scanner/http/vicidial_multiple_sqli.rb · Exploit
• https://osv.dev/vulnerability/CVE-2022-34876 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34876 · Nota de Segurança
• https://t.me/cvenotify/32608 · Publicação no Telegram
• https://vicidial.org/VICIDIALforum/viewtopic.php?f=4&t=41300&sid=aacb27a29fefd85265b4d55fe51122af · Aviso do Fabricante
• https://t.me/cibsecurity/45604 · Publicação no Telegram