CVE-2024-23733

CVE-2024-23733 Software AG webMethods API Integration Server 10.15.0 गलत अभिगम नियंत्रण

विवरण Integration Server में /WmAdmin/,/invoke/vm.server/login लॉगिन पेज (Software AG webMethods 10.15.0, Core_Fix7 से पहले) दूरस्थ हमलावरों को /WmAdmin/#/login/ URI पर एक मनमाना उपयोगकर्तानाम और एक खाली पासवर्ड भेजकर प्रशासन पैनल तक पहुंचने और होस्टनाम तथा संस्करण जानकारी प्रकट करने की अनुमति देता है।

भेद्यता प्रकार गलत अभिगम नियंत्रण

उत्पाद के विक्रेता SoftwareAG

प्रभावित उत्पाद कोड बेसhttps://github.com/ekcrsm/CVE-2024-23733/tree/main WebMethods Integration Server - इसका परीक्षण 10.15.0.0000-0092 पर किया गया। IS_10.15 Core_Fix7 में ठीक किया गया।

प्रभावित घटक Software AG webMethods API Integration Server 10.15.0

हमले का प्रकार दूरस्थ

प्रभाव सूचना प्रकटीकरण सत्य

प्रभावित घटक /WmAdmin/,/invoke/vm.server/login (लॉगिन पेज)

हमले के वेक्टर भेद्यता का शोषण करने के लिए, HTTP ट्रैफिक की व्याख्या करनी चाहिए और लॉगिन स्क्रीन पर (/invoke/vm.server/login कॉल के माध्यम से) एक डमी उपयोगकर्तानाम (जैसे तारांकन) और खाली पासवर्ड भेजने से प्रशासनिक डैशबोर्ड तक पहुंच मिलती है। लॉग आउट न होने के लिए /admin/navigation/license अनुरोध को छोड़ देना चाहिए। सर्वर का वास्तविक होस्टनाम जिस पर उत्पाद स्थापित है, संस्करण जानकारी और कोई भी प्रशासनिक API एंडपॉइंट दिखाई देने लगते हैं।

संदर्भ https://www.softwareag.com/en_corporate/platform/integration-apis/webmethods-integration.html

खोजकर्ता Rasime Ekici