PT-2024-2870 · Eclipse+1 · Jetty+1

Evan Grant · Publicado 2024-03-04 · Atualizado 2024-05-10 · CVE-2024-31851

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do CData Sync anteriores à 23.4.8843

Descrição

Existe uma vulnerabilidade de traversal de caminho na versão Java do CData Sync quando executada utilizando o servidor Jetty incorporado. Este problema está relacionado a erros no tratamento de caminhos relativos a diretórios. A exploração dessa vulnerabilidade poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas e realizasse ações limitadas no sistema, enviando solicitações HTTP especialmente criadas.

Recomendações

Para versões anteriores à 23.4.8843, atualize para a versão 23.4.8843 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao servidor Jetty incorporado para minimizar o risco de exploração.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2024-03031

CVE-2024-31851

Produtos afetados

Cdata Sync

Jetty

Referências · 10

• https://bdu.fstec.ru/vul/2024-03031 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-31851 · Nota de Segurança
• https://twitter.com/the_yellow_fall/status/1777188706392363082 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/10480 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1776306954601742557 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1776348334753542508 · Publicação no Twitter
• https://cdata.com/kb/entries/jetty-cve-0324.rst · Nota
• https://safe-surf.ru/upload/VULN-new/VULN.2024-04-12.1.pdf · Nota de Segurança
• https://twitter.com/fofabot/status/1787403853111136358 · Publicação no Twitter
• https://tenable.com/security/research/tra-2024-09 · Nota