PT-2024-18420 · Byzoro · Byzoro Smart S42 Management Platform

Ting · Publicado 2024-02-27 · Atualizado 2024-12-17 · CVE-2024-1918

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões da Plataforma de Gerenciamento Byzoro Smart S42 até 20240219

Descrição

Foi encontrada uma vulnerabilidade crítica na Plataforma de Gerenciamento Byzoro Smart S42, afetando uma funcionalidade desconhecida do arquivo /useratte/userattestation.php. A manipulação do argumento hidwel leva a um upload irrestrito. O ataque pode ser lançado remotamente. A exploração foi divulgada ao público e pode estar em uso.

Recomendações

Para versões até 20240219, como solução temporária, considere restringir o acesso ao arquivo /useratte/userattestation.php até que um patch esteja disponível. Evite usar o argumento hidwel no arquivo afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-1918

Produtos afetados

Byzoro Smart S42 Management Platform

Referências · 11

• 🔥 https://github.com/Echosssy/CVE/blob/main/%E5%85%B3%E4%BA%8ESmart%20S42%E7%AE%A1%E7%90%86%E5%B9%B3%E5%8F%B0%E5%AD%98%E5%9C%A8%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%E7%9A%84%E6%83%85%E5%86%B5%E9%80%9A%E6%8A%A5-userattestation.php.docx · Exploit
• https://vuldb.com/?ctiid.254839 · Nota
• https://twitter.com/VulmonFeeds/status/1762502663344623735 · Publicação no Twitter
• https://t.me/cvenotify/104603 · Publicação no Telegram
• https://t.me/cvenotify/72438 · Publicação no Telegram
• https://vuldb.com/?id.254839 · Nota
• https://twitter.com/CVEnew/status/1762466636026777930 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-1918 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-1918 · Aviso do Fabricante
• https://twitter.com/Treadstone71LLC/status/1762789385706025359 · Publicação no Twitter
• https://vuldb.com/?submit.284382 · Nota