CVE-2024-48955_Overview

Descrizione:

Netadmin 4 IAM con problemi di controllo degli accessi.

Versione interessata: V4.030319

Il sistema NetAdmin restituisce i dati con le funzionalità nell'endpoint che "costruisce" i menu delle funzionalità, il ritorno di questa chiamata non è crittografato e poiché il sistema non convalida l'autorizzazione della sessione, un attaccante può copiare il contenuto del browser di un utente con maggiori privilegi, avendo accesso alle funzionalità dell'utente di cui il codice è stato copiato.

Tipo di Vulnerabilità

Broken Access Control

Punteggio CVSS e Vettori di Attacco

Base Score: 7.6
Vettori: https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

Validazione della vulnerabilità:

Un attaccante autenticato può modificare il ritorno della chiamata che il sistema effettua per renderizzare la schermata dell'utente, e così avere accesso a funzionalità amministrative.

Soluzione

Stato della Correzione: [In Omologazione]

Istruzioni per la Mitigazione:

• Richiedere l'aggiornamento della versione al fornitore

Riferimenti:

• CWE-863: Incorrect Authorization
• CWE-862: Missing Authorization
• CWE-284: Improper Access Control
• CWE-639: Authorization Bypass Through User-Controlled Key