PT-2024-16054 · Safenet · Esafenet Cdg

0Menc + 1 · Publicado 2024-10-19 · Atualizado 2024-10-22 · CVE-2024-10135

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

ESAFENET CDG versão 5

Descrição

Foi encontrada uma falha crítica na função actionDelNetSecConfig do arquivo /com/esafenet/servlet/netSec/NetSecConfigService.java. A manipulação do argumento id leva à injeção de SQL. É possível iniciar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso. O fornecedor foi contatado antecipadamente sobre essa divulgação, mas não respondeu de forma alguma.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Como solução temporária, considere desativar a função actionDelNetSecConfig até que um patch esteja disponível. Restrinja o acesso ao arquivo /com/esafenet/servlet/netSec/NetSecConfigService.java para minimizar o risco de exploração. Evite usar o argumento id na função afetada até que o problema seja resolvido.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-10135

Produtos afetados

Esafenet Cdg

Referências · 10

• 🔥 https://flowus.cn/share/90077815-dc85-42a1-9144-af0002cd0011?code=G8A6P3 · Exploit
• https://t.me/cvedetector/8360 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-10135 · Aviso do Fabricante
• https://t.me/cvenotify/98847 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1847603424570814644 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10135 · Nota de Segurança
• https://vuldb.com/?submit.422233 · Nota
• https://twitter.com/VulmonFeeds/status/1847653796710629783 · Publicação no Twitter
• https://vuldb.com/?ctiid.280923 · Nota
• https://vuldb.com/?id.280923 · Nota