CVE-2017-11357criticalbajo ataqueransomwareCWE-434

CVE-2017-11357

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear User Interface for ASP.NET AJAX

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.8epss 78%
de la publicación al arma139 días
Publicada en NVD23 ago
1ª PoC+139d
CISA KEV+1982d
Acción exigida por CISAplazo federal: 2023-02-16

Apply updates per vendor instructions.

En resumen

Una función de carga de archivos en Progress Telerik UI para ASP.NET AJAX no valida adecuadamente la entrada del usuario, permitiendo a atacantes subir archivos maliciosos o ejecutar código arbitrario en el servidor.

Detalle técnico

CVE-2017-11357 afecta a RadAsyncUpload en Progress Telerik UI para ASP.NET AJAX en versiones anteriores a R2 2017 SP2. La vulnerabilidad resulta de una validación insuficiente de entrada en cargas de archivo (CWE-434), permitiendo a atacantes remotos eludir restricciones de tipo de archivo y cargar ejecutables o scripts que se ejecutan con privilegios de la aplicación. No se requiere autenticación; la explotación puede resultar en compromiso total del servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Progress Telerik UI for ASP.NET AJAX before R2 2017 SP2 does not properly restrict user input to RadAsyncUpload, which allows remote attackers to perform arbitrary file uploads or execute arbitrary code.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.