CVE-2020-29666

निर्देशिका सूचीकरण

[सुझाया विवरण] Lan ATMService M3 ATM Monitoring System 6.1.0 में, एक निर्देशिका सूचीकरण भेद्यता के कारण, एक दूरस्थ हमलावर /websocket/logs/ में स्थित लॉग फ़ाइलों को देख सकता है, जिनमें उपयोगकर्ता के कुकी मान और पूर्वनिर्धारित डेवलपर का कुकी मान शामिल होता है।

[अतिरिक्त जानकारी] विक्रेता को भेद्यता के बारे में एक पत्र भेजा गया था।

[भेद्यता प्रकार अन्य] CWE-548: निर्देशिका सूचीकरण के माध्यम से जानकारी का प्रगटीकरण

[उत्पाद का विक्रेता] Lan ATMService LLC (http://lanatmservice.ru/)

[प्रभावित उत्पाद कोड आधार] प्रभावित संस्करण: M3 ATM Monitoring System 6.1.0. कोई निश्चित संस्करण नहीं हैं और डेवलपर्स से कोई प्रतिक्रिया नहीं।

[प्रभावित घटक] सर्वर की गलत कॉन्फ़िगरेशन, जो दूरस्थ हमलावर को लॉग फ़ाइलों में उपयोगकर्ता के कुकी मान देखने की अनुमति देती है।

[हमले का प्रकार] दूरस्थ

[प्रभाव सूचना प्रकटीकरण] true

[हमले के वेक्टर] एक दूरस्थ हमलावर {HOST}/websocket/logs/ में स्थित लॉग फ़ाइलों को देख सकता है, जिनमें उपयोगकर्ता के कुकी मान होते हैं।

[खोजकर्ता] दिमित्री कुरामिन (जेट इन्फोसिस्टम्स, jet.su)

[संदर्भ] https://jet.su