PT-2024-20322 · Unknown · Komm.One Cms+1

Publicado 2024-03-17 · Atualizado 2025-03-25 · CVE-2024-24230

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Komm.One CMS versão 10.4.2.14

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de modelo no lado do servidor (SSTI) por meio do mecanismo de modelos Velocity. Ela permite que invasores remotos executem código arbitrário por meio de uma URL que especifique java.lang.Runtime em conjunto com getRuntime().exec, seguido por um comando do sistema operacional.

Recomendações

Para o Komm.One CMS versão 10.4.2.14, como solução temporária, considere desativar o mecanismo de modelos Velocity até que um patch esteja disponível. Restrinja o acesso a URLs que possam especificar java.lang.Runtime para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-24230

Produtos afetados

Komm.One Cms

Velocity Template Engine

Referências · 7

• https://twitter.com/VulmonFeeds/status/1769600659731419646 · Publicação no Twitter
• https://t.me/cvenotify/74107 · Publicação no Telegram
• https://blog.munz4u.de/posts/2023/11/cve-2023-xxxxx-rce-via-ssti-in-komm.one-cms-10.4.2.14 · Nota
• https://t.me/cvenotify/74141 · Publicação no Telegram
• https://t.me/cvenotify/116193 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-24230 · Nota de Segurança
• https://twitter.com/CVEnew/status/1769543860932260238 · Publicação no Twitter