CVE-2019-10068criticalbajo ataqueCWE-502

CVE-2019-10068

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Xperience

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 95%
de la publicación al arma2542 días
Publicada en NVD26 mar
1ª PoC+2542d
metasploit+20d
CISA KEV+1095d
víctimas12 ago
Apareció en 1 incidente(s) que verificamos
ACRO Criminal Records Office
Acción exigida por CISAplazo federal: 2022-04-15

Apply updates per vendor instructions.

En resumen

El servicio de staging de Kentico no validaba correctamente los encabezados de seguridad, permitiendo que atacantes eludieran la autenticación y ejecutaran código malicioso en el servidor.

Detalle técnico

Un bypass en la validación de encabezados de seguridad en el servicio de staging permite que atacantes no autenticados envíen solicitudes especialmente crafted con objetos .NET serializados controlados por el usuario. La deserialización sin validación adecuada resulta en ejecución remota de código (RCE) no autenticada en el servidor que hospeda la instancia de Kentico.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

An issue was discovered in Kentico 12.0.x before 12.0.15, 11.0.x before 11.0.48, 10.0.x before 10.0.52, and 9.x versions. Due to a failure to validate security headers, it was possible for a specially crafted request to the staging service to bypass the initial authentication and proceed to deserialize user-controlled .NET object input. This deserialization then led to unauthenticated remote code execution on the server where the Kentico instance was hosted.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.