PT-2024-25945 · Syracuse · Avantra Server

CVE-2024-34519 · Publicado 2024-05-05 · Atualizado 2024-07-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Avantra Server, versões 24.0.0 a 24.0.6

Avantra Server, versões 24.1.0 a 24.1.0

Descrição

O problema diz respeito ao tratamento inadequado da segurança do painel. Se um usuário puder criar um painel com um usuário de login automático, poderá ocorrer a divulgação de dados. O controle de acesso pode ser contornado quando há um painel compartilhado e seu usuário de login automático possui privilégios que um visitante do painel não deveria ter.

Recomendações

Para as versões do Avantra Server 24.0.0 a 24.0.6, atualize para a versão 24.0.7 ou posterior.

Para as versões do Avantra Server 24.1.0 a 24.1.0, atualize para a versão 24.1.1 ou posterior.

Como solução alternativa temporária, considere restringir o acesso a painéis compartilhados com usuários de login automático para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-289

Identificadores relacionados

CVE-2024-34519

Produtos afetados

Avantra Server

Referências · 6

• https://twitter.com/CVEnew/status/1787561514855276728 · Publicação no Twitter
• https://support.avantra.com/support/solutions/articles/44002516766-xan-5367-security-vulnerability-fix-for-dashboards · Nota
• https://t.me/cvenotify/79156 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-34519 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1787297851778748546 · Publicação no Twitter
• https://docs.avantra.com/release-notes/24/changes.html · Nota