PT-2024-27927 · R Hub · R-Hub Turbomeeting

0Xc0Ffeee · Publicado 2024-07-25 · Atualizado 2024-09-09 · CVE-2024-38289

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do R-HUB TurboMeeting até a 8.x

Descrição

Uma vulnerabilidade de injeção de SQL baseada em valores booleanos no endpoint “Virtual Meeting Password” (VMP) permite que invasores remotos não autenticados extraiam senhas com hash do banco de dados e se autentiquem na aplicação por meio de entradas SQL maliciosas.

Recomendações

Para as versões do R-HUB TurboMeeting até a 8.x, considere restringir o acesso ao endpoint Virtual Meeting Password até que uma correção esteja disponível.

Como solução alternativa temporária, evite usar entradas SQL maliciosas no endpoint VMP para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-38289

GHSA-VX5J-8PGX-V42V

Produtos afetados

R-Hub Turbomeeting

Referências · 7

• 🔥 https://github.com/google/security-research/security/advisories/GHSA-vx5j-8pgx-v42v · Exploit
• https://rhubcom.com/v5/manuals.html · Nota
• https://t.me/cvedetector/1645 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-38289 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-38289 · Nota de Segurança
• https://t.me/cvenotify/93805 · Publicação no Telegram
• https://t.me/cvenotify/90279 · Publicação no Telegram