Múltiples vulnerabilidades en Lansweeper

Fecha de publicación: 01/03/2022

Importancia:
Crítica

Recursos afectados:

Lansweeper 9.1.20.2.

Descripción:

Marcin «Icewall» Noga, investigador de Cisco Talos, ha reportado 4 vulnerabilidades en la solución de gestión de activos informáticos Lansweeper, 3 de severidad crítica y 1 medio, cuya explotación podría permitir a un atacante realizar inyecciones SQL e inyección arbitraria de código Javascript.

Solución:

El proveedor ha parcheado las vulnerabilidades.

Detalle:

Las vulnerabilidades críticas se describen a continuación:

  • Vulnerabilidad de inyección SQL en la funcionalidad HelpdeskEmailActions.aspx, relacionada con la acción Configuration -> General Settings y está localizada en el archivo LSCFHelpdeskSetupActions.cs. Se ha asignado el identificador CVE-2022-22149 para esta vulnerabilidad.
  • Vulnerabilidad de XSS en la funcionalidad WebUserActions.aspx, relacionada con la acción Configuration -> Website Settings y está localizada en el archivo LSCFWebUserActions.cs. Se ha asignado el identificador CVE-2022-21145 para esta vulnerabilidad.
  • Vulnerabilidad de inyección SQL en la funcionalidad EchoAssets.aspx, relacionada con un parámetro order enviado al script /Scanning/Echo/EchoAssets.aspx. Se ha asignado el identificador CVE-2022-21234 para esta vulnerabilidad.

La vulnerabilidad de severidad media tiene asignado el identificador CVE-2022-21210.

Encuesta valoración

Etiquetas:
Actualización, Vulnerabilidad

Ir a la fuente
Author: INCIBE
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.