ICS-CERT informuje o nowych podatnościach w produktach firmy SUBNET Solutions Inc. (P24-321)

utworzone przez | paź 4, 2024 | ICS

ProduktPowerSYSTEM Center: PSC 2020 v5.21.x i wcześniejsze
Numer CVECVE-2020-28168
Krytyczność5,9/10
CVSSAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
OpisWersje PowerSYSTEM Center podatne na ataki wykorzystują pakiet Axios NPM 0.21.0, który zawiera lukę w zabezpieczeniach Server-Side Request Forgery (SSRF), dzięki której atakujący może ominąć serwer proxy, podając adres URL, który odpowiada przekierowaniem do ograniczonego hosta lub adresu IP.
  
Numer CVECVE-2021-3749
Krytyczność7,9/10
CVSSAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
OpisWersje PowerSYSTEM Center podatne na ataki wykorzystują Axios, który jest podatny na nieefektywną złożoność wyrażeń regularnych.
  
Numer CVECVE-2023-45857
Krytyczność6,5/10
CVSSAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
OpisWersje PowerSYSTEM Center podatne na ataki wykorzystują Axios 1.5.1, który może nieumyślnie ujawnić poufny XSRF-TOKEN przechowywany w plikach cookie, umieszczając go w nagłówku HTTP X-XSRF-TOKEN dla każdego żądania kierowanego do dowolnego hosta, umożliwiając atakującym przeglądanie poufnych informacji.
  
AktualizacjaTAK
Linkhttps://www.cisa.gov/news-events/ics-advisories/icsa-24-277-02