PT-2024-17687 · Chunghwa Telecom · Tbm-Client

Mamie Tang · Publicado 2024-12-16 · Atualizado 2024-12-21 · CVE-2024-12643

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

tbm-client da Chunghwa Telecom (versões afetadas não especificadas)

Descrição

O aplicativo tbm-client configura um servidor web local simples e fornece APIs para comunicação com o site de destino. Devido à falta de proteção contra CSRF nas APIs, invasores remotos não autenticados poderiam utilizar essas APIs por meio de phishing. Além disso, uma das APIs contém uma vulnerabilidade de Absolute Path Traversal, permitindo que invasores excluam arquivos arbitrários no sistema do usuário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-36

CWE-352

Identificadores relacionados

CVE-2024-12643

Produtos afetados

Tbm-Client

Referências · 9

• https://twcert.org.tw/en/cp-139-8301-c2f4b-2.html · Nota
• https://t.me/cvenotify/104353 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/1659 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1868548909850923153 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-12643 · Nota de Segurança
• https://twitter.com/cracbot/status/1870348530956796137 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1868582095020257594 · Publicação no Twitter
• https://twcert.org.tw/tw/cp-132-8295-bfa3b-1.html · Nota
• https://t.me/cvedetector/12970 · Publicação no Telegram