PT-2024-2324 · Progress · Progress Telerik Report Server

07842C0E165D4D2D8733Dd4Eab48B3Ed0F7Afe38

·

Publicado

2024-03-20

·

Atualizado

2025-01-16

·

CVE-2024-1800

CVSS v3.1

9.9

Crítica

VetorAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Progress® Telerik® Report Server anteriores ao primeiro trimestre de 2024 (10.0.24.130)
Descrição
É possível um ataque de execução remota de código por meio de uma vulnerabilidade de deserialização insegura no Progress® Telerik® Report Server. Essa vulnerabilidade está relacionada a deficiências no mecanismo de deserialização, permitindo que um invasor remoto execute código arbitrário. Aproximadamente 106 hosts estão afetados globalmente, sendo que 97% desses hosts possuem uma página de login exposta e 46% possuem recursos de acesso remoto.
Recomendações
Para versões anteriores ao primeiro trimestre de 2024 (10.0.24.130), atualize para uma versão que inclua a correção para esta vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso ao mecanismo de desserialização para minimizar o risco de exploração. Evite usar dados não confiáveis no processo de desserialização do ObjectReader até que o problema seja resolvido. No momento, não há informações sobre medidas de mitigação adicionais.

Exploit

Correção

Deserialization of Untrusted Data

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-02265
CVE-2024-1800
ZDI-24-403

Produtos afetados

Progress Telerik Report Server