PT-2025-9090 · Cyberark · Cyberark Endpoint Privilege Manager

Karol Mazurek + 3 · Publicado 2025-02-28 · Atualizado 2025-02-28 · CVE-2025-22271

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas CyberArk Endpoint Privilege Manager na versão SaaS 24.7.1

Descrição O problema permite spoofing de endereço IP ao fornecer um valor personalizado no cabeçalho X-Forwarded-For, o que compromete a responsabilização do mecanismo de registro de ações.

Recomendações Para a versão 24.7.1, considere restringir o uso do cabeçalho X-Forwarded-For até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2025-22271

Produtos afetados

Cyberark Endpoint Privilege Manager

Referências · 6

• https://cert.pl/en/posts/2025/02/CVE-2025-22270 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-22271 · Nota de Segurança
• https://docs.cyberark.com/epm/24.7.1/en/content/resources/_topnav/cc_home.htm · Nota
• https://t.me/cvedetector/19153 · Publicação no Telegram
• https://cert.pl/posts/2025/02/CVE-2025-22270 · Nota
• https://twitter.com/CVEnew/status/1895619321772249410 · Publicação no Twitter