PT-2024-33194 · Sas · Sas Studio

CVE-2024-48734 · Publicado 2024-10-30 · Atualizado 2026-07-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

SAS Studio versão 9.4

Descrição

O problema diz respeito a um envio de arquivos sem restrições no endpoint /SASStudio/SASStudio/sasexec/{sessionID}/{InternalPath}, permitindo que um invasor remoto envie arquivos maliciosos. O fornecedor contesta essa afirmação, pois o envio de arquivos é destinado a usuários autorizados.

Recomendações

Para o SAS Studio versão 9.4, considere restringir o acesso ao endpoint /SASStudio/SASStudio/sasexec/{sessionID}/{InternalPath} para impedir uploads de arquivos não autorizados. Como solução temporária, restrinja os recursos de upload de arquivos apenas a usuários autorizados até que uma solução mais permanente esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-48734

Produtos afetados

Sas Studio

Referências · 6

• 🔥❌ https://github.com/ACN-CVEs/CVE-2024-48734/blob/d59cca7b03bce3a516035d1a0f488d67c3d10ae6/Unrestricted%20file%20upload.pdf · Exploit, Deleted
• https://twitter.com/VulmonFeeds/status/1851781067557990758 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-48734 · Nota de Segurança
• http://sas.com · Nota
• https://t.me/cvedetector/9468 · Publicação no Telegram
• https://t.me/cveNotify/187897 · Publicação no Telegram