PT-2024-2324 · Progress · Progress Telerik Report Server
07842C0E165D4D2D8733Dd4Eab48B3Ed0F7Afe38
·
Publicado
2024-03-20
·
Atualizado
2025-01-16
·
CVE-2024-1800
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Progress® Telerik® Report Server anteriores ao primeiro trimestre de 2024 (10.0.24.130)
Descrição
É possível um ataque de execução remota de código por meio de uma vulnerabilidade de deserialização insegura no Progress® Telerik® Report Server. Essa vulnerabilidade está relacionada a deficiências no mecanismo de deserialização, permitindo que um invasor remoto execute código arbitrário. Aproximadamente 106 hosts estão afetados globalmente, sendo que 97% desses hosts possuem uma página de login exposta e 46% possuem recursos de acesso remoto.
Recomendações
Para versões anteriores ao primeiro trimestre de 2024 (10.0.24.130), atualize para uma versão que inclua a correção para esta vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso ao mecanismo de desserialização para minimizar o risco de exploração. Evite usar dados não confiáveis no processo de desserialização do ObjectReader até que o problema seja resolvido. No momento, não há informações sobre medidas de mitigação adicionais.
Exploit
Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Progress Telerik Report Server