Múltiples vulnerabilidades en Lansweeper

Fecha de publicación: 02/12/2022

Importancia:
Crítica

Recursos afectados:

Lansweeper 10.1.1.0.

Descripción:

Marcin ‘Icewall’ Noga, investigador de Cisco Talos, ha descubierto 6 vulnerabilidades de severidad crítica en Lansweeper, cuya explotación podría permitir lectura y subida de archivos aleatorios o inyección de código JavaScript.

Solución:

  • Actualizar Lansweeper a una versión superior a 10.1.1.0.
  • Las reglas de SNORT 59990-59992, 59999-60000, 60001-60002, 60054-60056, 60142-60144 y 60219 detectan intentos de explotación contra estas vulnerabilidades.

Detalle:

Los tipos de vulnerabilidades identificadas y sus correspondientes identificadores son:

  • Limitación incorrecta de nombre de ruta a un directorio restringido (path traversal): CVE-2022-32573, CVE-2022-29517, CVE-2022-29511 y CVE-2022-27498. Un atacante podría enviar una petición HTTP especialmente diseñada para explotar estas vulnerabilidades.
  • Omisión de sanitización en funcionalidades que podría provocar un Cross-Site Scripting (XSS): CVE-2022-28703 y CVE-2022-32763.

Encuesta valoración

Etiquetas:
Actualización, Infraestructuras críticas, Privacidad, Vulnerabilidad

Ir a la fuente
Author: INCIBE
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.