PT-2022-27466 · Kwoksys · Kwok Information Server

CVE-2022-45326 · Publicado 2022-12-06 · Atualizado 2022-12-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Kwoksys Kwok Information Server anteriores à 2.9.5.SP31

Descrição

Uma vulnerabilidade de injeção de entidade externa XML (XXE) permite que usuários remotos autenticados realizem ataques de falsificação de solicitação no lado do servidor (SSRF). Isso permite que invasores manipulem o servidor para que ele faça solicitações não autorizadas, o que pode levar à divulgação de informações confidenciais ou a outras atividades maliciosas.

Recomendações

Para versões anteriores à 2.9.5.SP31, atualize para a versão 2.9.5.SP31 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a recursos confidenciais do lado do servidor para minimizar o risco de exploração.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2022-45326

Produtos afetados

Kwok Information Server

Referências · 6

• 🔥 https://navsec.net/2022/11/12/kwoksys-xxe.html · Exploit
• http://kwoksys.com/wiki/index.php?title=Release_Notes · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-45326 · Nota de Segurança
• https://t.me/cvenotify/39299 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-45326 · Aviso do Fabricante
• https://t.me/cibsecurity/54084 · Publicação no Telegram