PT-2022-6444 · Nokia · Nokia Netact

Aleksandr Ustinov

+1

·

Publicado

2022-10-10

·

Atualizado

2023-05-04

·

CVE-2023-26058

CVSS v2.0

6.8

Média

VetorAV:N/AC:L/Au:S/C:C/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do Nokia NetAct anteriores à 22 FP2211
Descrição
Foi detectada uma vulnerabilidade de tipo XXE no Nokia NetAct por meio de um documento XML enviado a uma página do Performance Manager, onde faltam a validação de entrada e uma configuração adequada do analisador XML. Isso poderia permitir que um invasor obtivesse acesso não autorizado a informações protegidas ou realizasse um ataque SSRF. Para um invasor externo, é muito difícil explorar essa vulnerabilidade, pois seriam necessários parâmetros criados dinamicamente, como Jsession-id, CSRF token e Nxsrf token. Na prática, o ataque só pode ser realizado por um usuário interno.
Recomendações
Para versões do Nokia NetAct anteriores à 22 FP2211, atualize para a versão 22 FP2211 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso à página do Performance Manager e garantir a validação adequada de entradas e a configuração do analisador XML para minimizar o risco de exploração. Restrinja o acesso a parâmetros criados dinamicamente, como Jsession-id, CSRF token e Nxsrf token, para impedir o acesso não autorizado.

Correção

XXE

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2023-01306
CVE-2023-26058

Produtos afetados

Nokia Netact