PT-2022-27680 · Apache · Apache Manifoldcf
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Apache ManifoldCF versões 2.23 e anteriores
Descrição
O problema está relacionado à neutralização inadequada de elementos especiais utilizados em uma consulta LDAP, também conhecida como “injeção LDAP”. Isso permite que um invasor manipule as consultas de pesquisa LDAP, levando potencialmente à negação de serviço (DoS), à execução de consultas adicionais ou à manipulação de filtros durante a pesquisa de usuários. A vulnerabilidade ocorre quando o nome de usuário ou a string de domínio são passados para o servlet UserACLs sem validação nos conectores de autoridade do Active Directory e do SharePoint Active Directory do Apache ManifoldCF.
Recomendações
Para as versões 2.23 e anteriores do Apache ManifoldCF, atualize para uma versão que inclua a correção para este problema.
Como solução alternativa temporária, considere validar o nome de usuário e a string de domínio antes de passá-los para o servlet UserACLs, a fim de evitar ataques de injeção LDAP.
Restrinja o acesso ao servlet UserACLs para minimizar o risco de exploração.
Correção
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Manifoldcf