CVE-2024-48955_अवलोकन

विवरण:

Netadmin 4 IAM एक्सेस नियंत्रण में खामियों के साथ।

प्रभावित संस्करण: V4.030319

NetAdmin सिस्टम उस एंडपॉइंट पर कार्यक्षमताओं के साथ डेटा लौटाता है जो फ़ंक्शन मेनू 'बनाता' है, इस कॉल का रिटर्न एन्क्रिप्टेड नहीं है और चूंकि सिस्टम सत्र प्राधिकरण को मान्य नहीं करता है, एक हमलावर उच्च विशेषाधिकार वाले उपयोगकर्ता के ब्राउज़र की सामग्री कॉपी कर सकता है, जिससे उस उपयोगकर्ता की कार्यक्षमताओं तक पहुँच प्राप्त होती है जिसका कोड कॉपी किया गया था।

भेद्यता प्रकार

Broken Access Control

CVSS स्कोर और हमले के वेक्टर

आधार स्कोर: 7.6
वेक्टर: https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

भेद्यता की पुष्टि करना:

एक प्रमाणित हमलावर उस कॉल के रिटर्न को बदल सकता है जो सिस्टम उपयोगकर्ता की स्क्रीन को रेंडर करने के लिए करता है, और इस प्रकार प्रशासनिक कार्यक्षमताओं तक पहुँच प्राप्त कर सकता है।

समाधान

सुधार की स्थिति: [अनुमोदन में]

शमन के निर्देश:

• विक्रेता से संस्करण अद्यतन का अनुरोध करें

संदर्भ:

• CWE-863: Incorrect Authorization
• CWE-862: Missing Authorization
• CWE-284: Improper Access Control
• CWE-639: Authorization Bypass Through User-Controlled Key