PT-2024-31402 · Unknown · Ringer Server

Superior126 · Publicado 2024-09-04 · Atualizado 2024-09-05 · CVE-2024-45050

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do servidor Ringer anteriores à 1.3.1

Descrição

O problema diz respeito à rota de carregamento de mensagens no servidor Ringer, onde não é verificado se o usuário que está carregando uma conversa é, de fato, membro dessa conversa. Isso permite que qualquer usuário com uma conta Lif carregue qualquer conversa entre dois usuários sem permissão. O problema foi resolvido na versão 1.3.1.

Recomendações

Para versões anteriores à 1.3.1, atualize para a versão 1.3.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à rota de carregamento de mensagens até que o patch seja aplicado.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-45050

GHSA-CPC7-79CG-QV65

Produtos afetados

Ringer Server

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45050.json · Exploit
• https://github.com/Lif-Platforms/New-Ringer-Server/security/advisories/GHSA-cpc7-79cg-qv65 · Nota
• https://github.com/Lif-Platforms/New-Ringer-Server/commit/ae795ff47b2ac2656ac6a099a0e7954ca7d9ba53 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-45050 · Nota de Segurança
• https://twitter.com/CVEnew/status/1831359477934612505 · Publicação no Twitter
• https://t.me/cvedetector/4811 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-45050 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1831412673247904165 · Publicação no Twitter
• https://t.me/cvenotify/93307 · Publicação no Telegram