PT-2025-11033 · Bitdefender · Bitdefender Box
Alan Cao
·
Publicado
2025-03-12
·
Atualizado
2025-07-30
·
CVE-2024-13872
CVSS v4.0
9.4
Crítica
| Vetor | AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas:
Bitdefender Box versões 1.3.11.490 até 1.3.11.505
Descrição:
A questão refere-se ao uso do protocolo HTTP inseguro para baixar ativos pela Internet para atualizar e reiniciar daemons e regras de detecção em dispositivos. As atualizações podem ser acionadas remotamente através do endpoint da API "/set temp token". Isso permite que um atacante não autenticado e adjacente à rede utilize técnicas de man-in-the-middle (MITM) para retornar respostas maliciosas. Como resultado, daemons reiniciados que utilizam ativos maliciosos podem ser explorados para execução remota de código no dispositivo.
Recomendações:
Para as versões do Bitdefender Box 1.3.11.490 até 1.3.11.505, considere desabilitar o método da API
/set temp token até que um mecanismo de atualização seguro seja implementado para prevenir riscos de execução remota de código. Restrinja o acesso ao dispositivo para minimizar o risco de exploração. Evite utilizar o protocolo HTTP inseguro para atualizações até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.RCE
Cleartext Transmission of Sensitive Information
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Bitdefender Box