PT-2024-2856 · Eclipse+1 · Jetty+1
Evan Grant
·
Publicado
2024-03-04
·
Atualizado
2024-05-10
·
CVE-2024-31848
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do CData API Server anteriores à 23.4.8844
Descrição
Existe uma vulnerabilidade de traversal de caminho na versão Java do CData API Server quando executada usando o servidor Jetty incorporado. Isso poderia permitir que um invasor remoto não autenticado obtivesse acesso administrativo completo ao aplicativo. O problema está relacionado a erros no tratamento de caminhos relativos ao diretório devido à falta de verificação de sessão para pontos de extremidade. A exploração da vulnerabilidade pode permitir que um invasor remoto eleve privilégios enviando solicitações HTTP especialmente criadas. Mais de 2.500 serviços estão potencialmente afetados.
Recomendações
Para versões anteriores à 23.4.8844, atualize para a versão 23.4.8844 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao servidor Jetty incorporado até que um patch seja aplicado. Evite usar o CData API Server vulnerável com o servidor Jetty incorporado para aplicativos confidenciais até que o problema seja resolvido.
Exploit
Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cdata Api Server
Jetty