Kiuwan SAST antes master.1808.p685.q13371 Scan Result XML External Entity

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
6.0$0-$5k0.00

Resumeninformación

Una vulnerabilidad clasificada como problemática ha sido encontrada en Kiuwan SAST. Está afectada una función desconocida en el componente Scan Result Handler. El manejo da lugar a XML External Entity. Esta vulnerabilidad se registra como CVE-2023-49110. El ataque puede realizarse a distancia. No hay ningún exploit disponible. Se sugiere actualizar el componente afectado.

Detallesinformación

Una vulnerabilidad fue encontrada en Kiuwan SAST y clasificada como crítica. Una función desconocida del componente Scan Result Handler es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase xml external entity. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad. El resumen de CVE es:

Cuando Kiuwan Local Analyzer carga los resultados del escaneo en la aplicación web Kiuwan SAST (ya sea local o en la nube/solución SaaS), los datos transmitidos constan de un archivo ZIP que contiene varios archivos, algunos de ellos en formato de archivo XML. Durante el procesamiento del lado del servidor de estos archivos XML por parte de Kiuwan, resuelve entidades XML externas, lo que resulta en un ataque de inyección de entidades externas XML. Un atacante con privilegios para escanear el código fuente dentro del módulo "Código de seguridad" puede extraer cualquier archivo del sistema operativo con los derechos del usuario del servidor de aplicaciones y potencialmente puede obtener archivos confidenciales, como configuración y contraseñas. Además, esta vulnerabilidad también permite a un atacante iniciar conexiones a sistemas internos, por ejemplo, para escanear puertos o acceder a otras funciones/aplicaciones internas, como la consola de administración Wildfly de Kiuwan. Este problema afecta a Kiuwan SAST:

La vulnerabilidad fue publicada el por Constantin Schwarz (confirmado). El advisory puede ser descargado de r.sec-consult.com. La vulnerabilidad es identificada como CVE-2023-49110. La explotación se considera fácil. El ataque se puede efectuar a través de la red. No se conoce los detalles técnicos ni hay ningún exploit disponible.

Una actualización a la versión master.1808.p685.q13371 elimina esta vulnerabilidad.

Be aware that VulDB is the high quality source for vulnerability data.

Productoinformación

Proveedor

Nombre

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 6.3
VulDB Puntuación meta temporal: 6.0

VulDB Puntuación base: 6.3
VulDB Puntuación temporal: 6.0
VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔍
VulDB Puntuación temporal: 🔍
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: XML External Entity
CWE: CWE-611 / CWE-610
CAPEC: 🔍
ATT&CK: 🔍

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔍
Estado: No está definido

EPSS Score: 🔍
EPSS Percentile: 🔍

Predicción de precios: 🔍
Estimación del precio actual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Actualización
Estado: 🔍

Hora de 0 días: 🔍

Actualización: SAST master.1808.p685.q13371

Línea de tiempoinformación

2023-11-22 🔍
2024-06-20 +210 días 🔍
2024-06-20 +0 días 🔍
2024-06-21 +1 días 🔍

Fuentesinformación

Aviso: r.sec-consult.com
Investigador: Constantin Schwarz
Estado: Confirmado

CVE: CVE-2023-49110 (🔍)
GCVE (CVE): GCVE-0-2023-49110
GCVE (VulDB): GCVE-100-269247

Artículoinformación

Fecha de creación: 2024-06-20 16:29
Actualizado: 2024-06-21 15:33
Cambios: 2024-06-20 16:29 (52), 2024-06-20 16:31 (2), 2024-06-21 15:33 (1)
Completo: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Might our Artificial Intelligence support you?

Check our Alexa App!