PT-2022-22971 · Kvf-Admin · Kvf-Admin

Alter1125 · Publicado 2022-07-13 · Atualizado 2023-08-08 · CVE-2022-35857

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

kvf-admin até 12/02/2022

Descrição

A vulnerabilidade permite que invasores remotos executem código arbitrário devido a um tratamento incorreto da desserialização. O parâmetro rememberMe é criptografado com uma chave codificada no arquivo com.kalvin.kvf.common.shiro.ShiroConfig.

Recomendações

Para o kvf-admin até 12/02/2022, considere desativar a desserialização do parâmetro rememberMe até que uma correção esteja disponível. Restrinja o acesso ao arquivo com.kalvin.kvf.common.shiro.ShiroConfig para minimizar o risco de exploração. Evite usar o parâmetro rememberMe nos endpoints de API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

Identificadores relacionados

CVE-2022-35857

Produtos afetados

Kvf-Admin

Referências · 7

• 🔥 https://github.com/kalvinGit/kvf-admin/issues/16 · Exploit
• https://t.me/cvenotify/33033 · Publicação no Telegram
• https://t.me/cvenotify/33063 · Publicação no Telegram
• https://t.me/cibsecurity/46220 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-35857 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-35857 · Nota de Segurança
• https://t.me/cvenotify/33549 · Publicação no Telegram