CVE-2024-48955_Descripción general

Descripción:

Netadmin 4 IAM con fallos de control de acceso.

Versión afectada: V4.030319

El sistema NetAdmin devuelve los datos con las funcionalidades en el endpoint que "monta" los menús de funcionalidades, el retorno de esta llamada no está cifrado y como el sistema no valida la autorización de la sesión, un atacante puede copiar el contenido del navegador de un usuario con mayores privilegios, teniendo acceso a las funcionalidades del usuario cuyo código fue copiado.

Tipo de Vulnerabilidad

Broken Access Control

Puntuación CVSS y Vectores de Ataque

Puntuación base: 7.6
Vectores: https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

Validando la vulnerabilidad:

Un atacante autenticado puede alterar el retorno de la llamada que el sistema realiza para renderizar la pantalla del usuario, y así tener acceso a funcionalidades administrativas.

Solución

Estado de la corrección: [En Homologación]

Instrucciones para Mitigación:

• Solicitar la actualización de versión al proveedor

Referencias:

• CWE-863: Autorización incorrecta
• CWE-862: Autorización faltante
• CWE-284: Control de acceso inapropiado
• CWE-639: Bypass de autorización mediante clave controlada por el usuario