MĂșltiples vulnerabilidades en RhinOS de SaltOS

MĂșltiples vulnerabilidades en RhinOS de SaltOS

Recursos Afectados

RhinOS, versiĂłn 3.0-1190.

DescripciĂłn

INCIBE ha coordinado la publicaciĂłn de 3 vulnerabilidades de distintas severidades, que afectan a SaltOS RhinOS, versiĂłn 3.0-1190, una soluciĂłn cloud computing de gestiĂłn empresarial que integra funcionalidades de CRM y ERP, las cuales han sido descubiertas por Rafael Pedrero.

A estas vulnerabilidades se les han asignado los siguientes cĂłdigos, puntuaciĂłn base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:

  • CVE-2024-5407: 10 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | CWE-94.
  • CVE-2024-5408: 7.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L | CWE-79.
  • CVE-2024-5409: 7.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L | CWE-79.
5 – CrĂ­tica
SoluciĂłn

El fabricante recomienda actualizar RhinOS a la versiĂłn mĂĄs reciente.

Detalle
  • CVE-2023-5407: una vulnerabilidad en RhinOS 3.0-1190 podrĂ­a permitir la inyecciĂłn de cĂłdigo PHP a travĂ©s del parĂĄmetro “buscar” en /portal/buscador.htm. Esta vulnerabilidad podrĂ­a permitir a un atacante remoto realizar un reverse shell en el sistema remoto, comprometiendo toda la infraestructura.
  • CVE-2024-5408: vulnerabilidad en RhinOS 3.0-1190 que consiste en un XSS a travĂ©s del parĂĄmetro “buscar” de /portal/buscador.htm. Esta vulnerabilidad podrĂ­a permitir a un atacante remoto robar detalles de la sesiĂłn de usuario de una vĂ­ctima mediante el envĂ­o de una URL especialmente diseñada.
  • CVE-2024-5409: RhinOS 3.0-1190 es vulnerable a un XSS a travĂ©s del parĂĄmetro “tamper” en /admin/lib/phpthumb/phpthumb.php. Un atacante podrĂ­a crear una URL maliciosa y enviarla a una vĂ­ctima para obtener sus detalles de sesiĂłn.
Listado de referencias

Ir a la fuente
Author:
Aviso: Esta noticia / aviso es Ășnicamente informativa y su veracidad estĂĄ supeditada a la fuente origen.

TechConsulting muestra este contenido por creer en su fuente y cĂłmo servicio para facilitar a usuarios y empresas la obtenciĂłn de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.
Para mĂĄs informaciĂłn o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catĂĄlogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestiĂłn que pueda tener.