Horde Groupware Webmail Edition Nag display_tasklists Désérialisation de données non approuvées Vulnérabilité d'exécution de code à distance

Référence : CI-CERT/2020-AL29

IDENTIFIANT CVE :          

SCORE CVSS          :           6.3

FOURNISSEURS TOUCHÉS    : Horde

PRODUITS AFFECTÉS             :      Édition Groupware Webmail

SOURCE : https://www.zerodayinitiative.com/

DÉTAILS  :                          

Cette vulnérabilité permet aux attaquants distants d'exécuter du code arbitraire sur les installations affectées de Horde Groupware Webmail Edition. Une authentification est requise pour exploiter cette vulnérabilité.

La faille spécifique existe dans Nag.php. Lors de l'analyse du paramètre display_tasklists, le processus ne valide pas correctement les données fournies par l'utilisateur, ce qui peut entraîner la désérialisation de données non approuvées. Un attaquant peut exploiter cette vulnérabilité pour exécuter du code dans le contexte de l'utilisateur www-data.

DETAILS COMPLEMENTAIRES

13/03/20 - ZDI a signalé les vulnérabilités au fournisseur

07/07/20 - ZDI a demandé une mise à jour

09/07/20 - Le fournisseur a indiqué qu'il travaillait sur un correctif

07/09/20 - ZDI a demandé une ETA pour la correction

07/09/20 - Le fournisseur a indiqué qu'il ne pouvait pas spécifier de date

07/10/20 - ZDI a indiqué qu'il fournirait une extension de 2 semaines

21/07/20 - ZDI a demandé une mise à jour

31/07/20 - ZDI a demandé une mise à jour

 13/08/20 -ZDI a informé le vendeur de son intention de publier le cas sous forme d'avis à 0 jour le 18/08/20

Etant donné la nature de la vulnérabilité, la seule stratégie d'atténuation la plus importante consiste à restreindre l'interaction avec l'application.

Cette vulnérabilité est divulguée publiquement sans correctif conformément au délai de 120 jours de la ZDI.

S'ABONNER À NOTRE NEWSLETTER

18 BP 2203 Abidjan 18 – Côte d’Ivoire
Téléphone : +225 27 20 34 42 63 
Fax : +225 27 20 34 43 75
Marcory Anoumanbo, Abidjan – Côte d’Ivoire

 

 

PARTENAIRES