PT-2024-24242 · Italtel · Italtel Embrace

Fabio Romano + 3 · Publicado 2024-05-21 · Atualizado 2024-07-03 · CVE-2024-31845

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Italtel Embrace versão 1.6.4

Descrição

Foi detectada uma falha no produto que não neutraliza, ou neutraliza incorretamente, os dados gravados nos registros. A aplicação web grava registros utilizando um parâmetro de string de consulta GET, que pode ser alterado por um invasor para atribuir cada ação realizada a um usuário diferente. Essa vulnerabilidade pode ser explorada sem autenticação.

Recomendações

Para o Italtel Embrace versão 1.6.4, considere restringir o acesso à funcionalidade de registro em logs para evitar a exploração. Como solução temporária, evite usar o parâmetro de string de consulta GET para registro em logs até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-117

Identificadores relacionados

CVE-2024-31845

Produtos afetados

Italtel Embrace

Referências · 5

• 🔥 https://gruppotim.it/it/footer/red-team.html · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2024-31845 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-31845 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1793284029359513723 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1792994988013281445 · Publicação no Twitter