PT-2024-16416 · Knightliao · Disconf

Gaogaostone + 1 · Publicado 2024-10-31 · Atualizado 2024-11-01 · CVE-2024-10620

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do software vulnerável e versões afetadas

knightliao Disconf versão 2.6.36

Descrição

Foi identificada uma falha crítica que afeta uma parte desconhecida do arquivo /api/config/list do componente Configuration Center. Isso leva a uma autenticação incorreta e pode ser explorado remotamente. A exploração já foi divulgada publicamente e pode estar em uso.

Recomendações

Para a versão 2.6.36, considere desativar o acesso ao endpoint /api/config/list até que um patch esteja disponível. Restrinja o acesso ao componente Configuration Center para minimizar o risco de exploração. Evite usar esta versão até que uma versão corrigida seja lançada. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2024-10620

Produtos afetados

Disconf

Referências · 11

• 🔥 https://github.com/knightliao/disconf/issues/431#issue-2607011340 · Exploit
• https://github.com/knightliao/disconf/issues/431 · Nota
• https://vuldb.com/?id.282633 · Nota
• https://osv.dev/vulnerability/CVE-2024-10620 · Aviso do Fabricante
• https://vuldb.com/?submit.429927 · Nota
• https://twitter.com/VulmonFeeds/status/1852321653365072330 · Publicação no Twitter
• https://t.me/cvenotify/100256 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1852209733870195035 · Publicação no Twitter
• https://vuldb.com/?ctiid.282633 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-10620 · Nota de Segurança
• https://t.me/cvedetector/9564 · Publicação no Telegram