Fecha de publicación: 01/03/2022
Importancia:
Crítica
Recursos afectados:
Lansweeper 9.1.20.2.
Descripción:
Marcin “Icewall” Noga, investigador de Cisco Talos, ha reportado 4 vulnerabilidades en la solución de gestión de activos informáticos Lansweeper, 3 de severidad crítica y 1 medio, cuya explotación podría permitir a un atacante realizar inyecciones SQL e inyección arbitraria de código Javascript.
Solución:
El proveedor ha parcheado las vulnerabilidades.
Detalle:
Las vulnerabilidades críticas se describen a continuación:
- Vulnerabilidad de inyección SQL en la funcionalidad HelpdeskEmailActions.aspx, relacionada con la acción Configuration -> General Settings y está localizada en el archivo LSCFHelpdeskSetupActions.cs. Se ha asignado el identificador CVE-2022-22149 para esta vulnerabilidad.
- Vulnerabilidad de XSS en la funcionalidad WebUserActions.aspx, relacionada con la acción Configuration -> Website Settings y está localizada en el archivo LSCFWebUserActions.cs. Se ha asignado el identificador CVE-2022-21145 para esta vulnerabilidad.
- Vulnerabilidad de inyección SQL en la funcionalidad EchoAssets.aspx, relacionada con un parámetro order enviado al script /Scanning/Echo/EchoAssets.aspx. Se ha asignado el identificador CVE-2022-21234 para esta vulnerabilidad.
La vulnerabilidad de severidad media tiene asignado el identificador CVE-2022-21210.
Etiquetas:
Actualización, Vulnerabilidad
Ir a la fuente
Author: INCIBE
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.