CVE-2020-9353
Açıklama
SmartClient 12.0 sürümünde bir sorun tespit edildi. /tools/developerConsoleOperations.jsp (veya /isomorphic/IDACall) URL'si üzerindeki konsol işlevselliği tarafından sağlanan Remote Procedure Call (RPC) loadFile, _transaction parametresindeki elem XML öğesinde yer alan dizin atlama (directory-traversal) dizileri aracılığıyla kimlik doğrulaması gerektirmeyen Yerel Dosya Dahil Etme (Local File Inclusion) etkisine maruz kalmaktadır. NOT: dokümantasyonda "Bu araçlar varsayılan olarak herkes için kullanılabilir... bu nedenle yalnızca güvenilir bir ortama konuşlandırılmalıdırlar. Alternatif olarak, araçların yolu web sunucusundaki normal kimlik doğrulama ve yetkilendirme mekanizmalarıyla korunarak, araçlara erişim kolayca yöneticiler veya son kullanıcılarla sınırlandırılabilir" belirtilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smartclient smartclient | 12.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.