PT-2024-2872 · Netentsec · Netentsec Ns-Asg Application Security Gateway

Nsuwyh · Publicado 2024-04-08 · Atualizado 2024-05-17 · CVE-2024-3456

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Netentsec NS-ASG Application Security Gateway versão 6.3

Descrição

Uma falha crítica afeta uma funcionalidade desconhecida do arquivo /admin/config Anticrack.php, na qual a manipulação do argumento GroupId leva a uma injeção de SQL. Isso pode ser explorado remotamente. A falha está relacionada à falta de proteção da estrutura da consulta SQL.

Recomendações

Para a versão 6.3, como solução temporária, considere restringir o acesso ao arquivo /admin/config Anticrack.php e evitar o uso do argumento GroupId até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2024-03036

CVE-2024-3456

Produtos afetados

Netentsec Ns-Asg Application Security Gateway

Referências · 10

• 🔥 https://github.com/flyyue2001/cve/blob/main/NS-ASG-sql-config_Anticrack.md · Exploit
• https://vuldb.com/?ctiid.259712 · Nota
• https://twitter.com/CVEnew/status/1777375905909780785 · Publicação no Twitter
• https://vuldb.com/?id.259712 · Nota
• https://osv.dev/vulnerability/CVE-2024-3456 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1777404920024477807 · Publicação no Twitter
• https://t.me/cvenotify/76067 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-3456 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-03036 · Nota de Segurança
• https://vuldb.com/?submit.312183 · Nota