PT-2024-2869 · Eclipse+1 · Jetty+1

Evan Grant · Publicado 2024-03-04 · Atualizado 2024-05-10 · CVE-2024-31850

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do CData Arc anteriores à 23.4.8839

Descrição

Existe uma vulnerabilidade de traversal de caminho na versão Java do CData Arc quando executada utilizando o servidor Jetty incorporado. Isso poderia permitir que um invasor remoto não autenticado obtivesse acesso a informações confidenciais e realizasse ações limitadas ao enviar solicitações HTTP especialmente criadas. A vulnerabilidade está relacionada a erros no tratamento de caminhos relativos ao diretório.

Recomendações

Para versões anteriores à 23.4.8839, atualize para a versão 23.4.8839 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao servidor Jetty incorporado até que um patch esteja disponível. Evite usar o servidor vulnerável para operações confidenciais até que o problema seja resolvido.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2024-03030

CVE-2024-31850

Produtos afetados

Cdata Arc

Jetty

Referências · 10

• https://bdu.fstec.ru/vul/2024-03030 · Nota de Segurança
• https://twitter.com/the_yellow_fall/status/1777188706392363082 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/10480 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1776351118248829165 · Publicação no Twitter
• https://cdata.com/kb/entries/jetty-cve-0324.rst · Nota
• https://safe-surf.ru/upload/VULN-new/VULN.2024-04-12.1.pdf · Nota de Segurança
• https://twitter.com/fofabot/status/1787403853111136358 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-31850 · Nota de Segurança
• https://tenable.com/security/research/tra-2024-09 · Nota
• https://twitter.com/CVEnew/status/1776306955725705296 · Publicação no Twitter