PT-2024-21044 · Iris · Iris
Cyber-Dude1
·
Publicado
2024-04-25
·
Atualizado
2024-12-10
·
CVE-2024-25624
CVSS v3.1
6.8
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Iris anteriores à 2.4.6
Descrição
O Iris é uma plataforma colaborativa na web que auxilia equipes de resposta a incidentes a compartilhar detalhes técnicos durante investigações. Devido a uma configuração inadequada do ambiente Jinja2, a geração de relatórios no
iris-web está sujeita a uma injeção de modelo no lado do servidor (SSTI). A exploração bem-sucedida pode levar à execução remota de código arbitrário. Um administrador autenticado deve fazer o upload de um modelo de relatório malicioso contendo a carga útil. Após a geração de um relatório com base nesse modelo malicioso, qualquer usuário pode acionar a vulnerabilidade.Recomendações
Atualize para o IRIS v2.4.6 o mais rápido possível. Até a aplicação da correção, revise os modelos de relatório e mantenha os privilégios administrativos, incluindo o upload de modelos de relatório, restritos a usuários dedicados.
Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Iris