CVE-2019-10068
CVE-2019-10068
En resumen
El servicio de staging de Kentico no validaba correctamente los encabezados de seguridad, permitiendo que atacantes eludieran la autenticación y ejecutaran código malicioso en el servidor.
Detalle técnico
Un bypass en la validación de encabezados de seguridad en el servicio de staging permite que atacantes no autenticados envíen solicitudes especialmente crafted con objetos .NET serializados controlados por el usuario. La deserialización sin validación adecuada resulta en ejecución remota de código (RCE) no autenticada en el servidor que hospeda la instancia de Kentico.
Resumen generado y traducido por IA a partir de la descripción oficial.
An issue was discovered in Kentico 12.0.x before 12.0.15, 11.0.x before 11.0.48, 10.0.x before 10.0.52, and 9.x versions. Due to a failure to validate security headers, it was possible for a specially crafted request to the staging service to bypass the initial authentication and proceed to deserialize user-controlled .NET object input. This deserialization then led to unauthenticated remote code execution on the server where the Kentico instance was hosted.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/aPoCs públicas encontradas — 2
githubgithub.com/0x7a-zip/CVE-2019-10068-PoC★ 0cve_referencepacketstormsecurity.com/files/157588/Kentico-CMS-12.0.14-Remote-Command-Execution.htmlno verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →