PT-2024-5771 · Traccar · Traccar

Nvn1729 · Publicado 2024-04-10 · Atualizado 2025-01-09 · CVE-2024-31214

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 5.1 a 5.12 do Traccar

Descrição

A vulnerabilidade permite que arquivos arbitrários sejam enviados por meio da API de envio de imagens do dispositivo, dando aos invasores controle total sobre o conteúdo, o diretório e a extensão do arquivo, além de controle parcial sobre o nome do arquivo. Isso pode potencialmente levar à execução remota de código, XSS e DOS. A instalação padrão do Traccar, com o auto-registro habilitado e executada com privilégios de root/sistema, torna essa vulnerabilidade mais grave.

Recomendações

Para as versões 5.1 a 5.12 do Traccar, atualize para a versão 6.0 para resolver a vulnerabilidade.

Como solução temporária, considere desativar o auto-registro para reduzir a gravidade da vulnerabilidade.

Restrinja o acesso à API de upload de imagens do dispositivo para minimizar o risco de exploração.

Exploit

Correção

DoS

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

BDU:2024-06484

CVE-2024-31214

GHSA-3GXQ-F2QJ-C8V9

Produtos afetados

Traccar

Referências · 25

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/traccar_rce_upload.rb · Exploit
• 🔥 https://github.com/traccar/traccar/security/advisories/GHSA-3gxq-f2qj-c8v9 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/31xxx/CVE-2024-31214.json · Exploit
• https://github.com/traccar/traccar/commit/3fbdcd81566bc72e319ec05c77cf8a4120b87b8f · Correção
• https://github.com/traccar/traccar/blob/master/src/main/java/org/traccar/model/Device.java#L56 · Nota
• https://github.com/traccar/traccar/blob/v5.12/src/main/java/org/traccar/api/resource/DeviceResource.java#L191 · Nota
• https://twitter.com/Horizon3ai/status/1828532965380342121 · Publicação no Twitter
• https://twitter.com/XynikIT/status/1827982557306052960 · Publicação no Twitter
• https://t.me/zerodayalert/314 · Publicação no Telegram
• https://twitter.com/Horizon3Attack/status/1826990787227258956 · Publicação no Twitter
• https://twitter.com/cyashadotcom/status/1828045987543384435 · Publicação no Twitter
• https://twitter.com/ohhara_shiojiri/status/1828345026008715628 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1778118877907431815 · Publicação no Twitter
• https://t.me/echeloneyes/3097 · Publicação no Telegram
• https://t.me/true_secator/6131 · Publicação no Telegram