PT-2024-33482 · Zimaos · Zimaos

Drdark1999 · Publicado 2024-10-24 · Atualizado 2024-11-06 · CVE-2024-49359

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 1.2.4 e anteriores do ZimaOS

Descrição

A vulnerabilidade permite que usuários autenticados realizem um ataque de traversal de diretório por meio do endpoint da API http://<Zima Server IP:PORT>/v2 1/file, possibilitando o acesso a diretórios confidenciais do sistema, como /etc. Isso pode expor arquivos de configuração críticos e aumentar o risco de novos ataques.

Recomendações

Para as versões 1.2.4 e anteriores do ZimaOS, como solução temporária, considere restringir o acesso ao endpoint da API http://<Zima Server IP:PORT>/v2 1/file até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-22

CWE-552

Identificadores relacionados

CVE-2024-49359

GHSA-MWPW-FHRM-728X

Produtos afetados

Zimaos

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/49xxx/CVE-2024-49359.json · Exploit
• 🔥 https://github.com/IceWhaleTech/ZimaOS/security/advisories/GHSA-mwpw-fhrm-728x · Exploit
• 🔥 https://youtu.be/IuaEH09ot9s · Exploit
• https://osv.dev/vulnerability/CVE-2024-49359 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-49359 · Nota de Segurança
• https://t.me/cvedetector/8869 · Publicação no Telegram