PT-2022-6464 · Mgt Commerce · Mgt-Commerce Cloudpanel

Tod Beardsley · Publicado 2022-12-12 · Atualizado 2023-03-27 · CVE-2023-0391

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

MGT-COMMERCE CloudPanel versão 2.2.0

Descrição

O problema está relacionado ao uso de um certificado SSL estático com uma chave criptográfica codificada no código-fonte do MGT-COMMERCE CloudPanel, que é compartilhada entre todas as instalações. Isso poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas. O comportamento foi observado na versão 2.2.0, e não há indícios de que tenha sido corrigido na versão 2.2.1.

Recomendações

Para a versão 2.2.0, considere desativar o uso do certificado SSL estático até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-321

CWE-798

Identificadores relacionados

BDU:2023-01566

CVE-2023-0391

Produtos afetados

Mgt-Commerce Cloudpanel

Referências · 11

• 🔥 https://bleepingcomputer.com/news/security/cloudpanel-installations-use-the-same-ssl-certificate-private-key · Exploit
• 🔥 https://rapid7.com/blog/post/2023/03/21/cve-2023-0391-mgt-commerce-cloudpanel-shared-certificate-vulnerability-and-weak-installation-procedures · Exploit
• https://t.me/echeloneyes/1345 · Publicação no Telegram
• https://t.me/cvenotify/46583 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2023-01566 · Nota de Segurança
• https://t.me/true_secator/4200 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-0391 · Aviso do Fabricante
• https://t.me/cibsecurity/60415 · Publicação no Telegram
• https://vuldb.com/?id.223504 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-0391 · Nota de Segurança
• https://t.me/cvenotify/46575 · Publicação no Telegram