PT-2022-27307 · Apache · Axis

CVE-2022-44784 · Publicado 2022-11-21 · Atualizado 2025-04-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Appalti & Contratti versão 9.12.2

Descrição

Foi detectada uma falha nas aplicações web LFS e DL229, que expõem um conjunto de serviços fornecidos pela instância do Axis 1.4. O Axis AdminService, normalmente acessível apenas por localhost, pode ser alcançado por usuários remotos, permitindo a criação de serviços arbitrários no lado do servidor. Quando um invasor consegue acessar o AdminService, ele pode usá-lo para instanciar serviços arbitrários no servidor. O procedimento de exploração envolve escrever uma página JSP dentro do diretório raiz da aplicação web por meio da classe org.apache.axis.handlers.LogHandler.

Recomendações

Para a versão 9.12.2 do Appalti & Contratti, considere desativar o Axis AdminService para impedir o acesso remoto e a instanciação de serviços arbitrários no servidor. Como solução temporária, restrinja o acesso à classe org.apache.axis.handlers.LogHandler para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2022-44784

Produtos afetados

Axis

Referências · 7

• 🔥 https://members.backbox.org/maggioli-appalti-contratti-multiple-vulnerabilities · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-44784 · Nota de Segurança
• https://t.me/cvenotify/38179 · Publicação no Telegram
• https://t.me/cvenotify/38357 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-44784 · Aviso do Fabricante
• https://t.me/cvenotify/120214 · Publicação no Telegram
• https://t.me/cibsecurity/53293 · Publicação no Telegram