PT-2024-2868 · Eclipse+1 · Jetty+1

Evan Grant · Publicado 2024-03-04 · Atualizado 2024-05-10 · CVE-2024-31849

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do CData Connect anteriores à 23.4.8846

Descrição

Existe uma vulnerabilidade de traversal de caminho na versão Java do CData Connect quando executada utilizando o servidor Jetty incorporado. Isso poderia permitir que um invasor remoto não autenticado obtivesse acesso administrativo completo ao aplicativo ao enviar solicitações HTTP especialmente criadas, possibilitando-lhe, potencialmente, elevar seus privilégios.

Recomendações

Para versões anteriores à 23.4.8846, atualize para a versão 23.4.8846 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao servidor Jetty incorporado até que um patch seja aplicado.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2024-03029

CVE-2024-31849

Produtos afetados

Cdata Connect

Jetty

Referências · 10

• https://twitter.com/the_yellow_fall/status/1777188706392363082 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/10480 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-31849 · Nota de Segurança
• https://twitter.com/CVEnew/status/1776306956749221999 · Publicação no Twitter
• https://safe-surf.ru/upload/VULN-new/VULN.2024-04-12.1.pdf · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-03029 · Nota de Segurança
• https://cdata.com/kb/entries/jetty-cve-0324.rst · Nota
• https://twitter.com/fofabot/status/1787403853111136358 · Publicação no Twitter
• https://tenable.com/security/research/tra-2024-09 · Nota
• https://twitter.com/VulmonFeeds/status/1776350612034040206 · Publicação no Twitter