CVE-2017-9248criticalbajo ataqueCWE-522

CVE-2017-9248

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ASP.NET AJAX and Sitefinity

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.8epss 75%
de la publicación al arma197 días
Publicada en NVD3 jul
1ª PoC+197d
CISA KEV+1584d
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Una falla de seguridad en Telerik UI for ASP.NET AJAX deja las claves de cifrado sin protección adecuada, permitiendo que atacantes roben credenciales importantes e inyecten código malicioso o carguen archivos peligrosos en servidores web.

Detalle técnico

CVE-2017-9248 involucra protección insuficiente de Telerik.Web.UI.DialogParametersEncryptionKey y MachineKey en versiones afectadas, permitiendo que atacantes remotos descifren material sensible y comprometan mecanismos criptográficos. La explotación puede resultar en exposición de MachineKey, operaciones arbitrarias de archivos, XSS o manipulación de ViewState sin requisitos de autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Telerik.Web.UI.dll in Progress Telerik UI for ASP.NET AJAX before R2 2017 SP1 and Sitefinity before 10.0.6412.0 does not properly protect Telerik.Web.UI.DialogParametersEncryptionKey or the MachineKey, which makes it easier for remote attackers to defeat cryptographic protection mechanisms, leading to a MachineKey leak, arbitrary file uploads or downloads, XSS, or ASP.NET ViewState compromise.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.