CVE-2023-6578
Təsvir
Software AG WebMethods 10.11.x/10.15.x versiyalarında kritik səviyyəli zəiflik aşkar edilmişdir. wm.server/connect/ faylının naməlum funksiyası təsirlidir. Manipulyasiya düzgün olmayan giriş nəzarətinə gətirib çıxarır. Hücumun uzaqdan həyata keçirilməsi mümkündür. /assets/ kimi fayla daxil olmaq üçün popap pəncərə istifadəçi adı və şifrə tələb edə bilər. Sadəcə CANCEL düyməsini sıxmaqla kataloga yönləndiriləcəksiniz. Əgər /invoke/wm.server/connect ünvanına daxil olsanız, daxili IP-lər, portlar və versiyalar kimi detalları görə biləcəksiniz. Bəzi hallarda /assets/ ünvanına giriş rədd edilərsə, yanlış dəyər kimi /assets/x daxil edib sonra yenidən /assets/ ünvanına qayıda bilərsiniz ki, bu zaman tələb olunan məlumatlar göstəriləcəkdir. Görünür ki, kifayət etməyən giriş nəzarəti referrer başlıq məlumatlarından asılıdır. Bu zəifliyə VDB-247158 identifikatoru təyin edilmişdir. QEYD: Vendor ilə bu açıqlama barədə əvvəlcədən əlaqə saxlanılmışdı, lakin hər hansı cavab alınmamışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| softwareag webmethods | 10.11 ≤ v ≤ 10.11.4, 10.15 ≤ v ≤ 10.15.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.