CVE-2021-35237mediumCWE-1021

CVE-2021-35237: fallo de gravedad media en SolarWinds Kiwi Syslog Server

Clickjacking Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Kiwi Syslog Server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5epss 1.0%
En resumen

Kiwi Syslog Server carece de una protección de seguridad que previene ataques de clickjacking, donde los atacantes engañan a los usuarios para que hagan clic en botones o enlaces ocultos superponiendo una página falsa sobre la real.

Detalle técnico

La ausencia del encabezado HTTP X-Frame-Options permite que la aplicación se incruste en iframes, posibilitando ataques de clickjacking donde un atacante superpone un frame transparente para secuestrar las interacciones del usuario dirigidas al servidor legítimo. Requiere interacción del usuario e impacta la confidencialidad e integridad de las acciones del usuario.

Resumen generado y traducido por IA a partir de la descripción oficial.
A missing HTTP header (X-Frame-Options) in Kiwi Syslog Server has left customers vulnerable to click jacking. Clickjacking is an attack that occurs when an attacker uses a transparent iframe in a window to trick a user into clicking on an actionable item, such as a button or link, to another server in which they have an identical webpage. The attacker essentially hijacks the user activity intended for the original server and sends them to the other server. This is an attack on both the user and the server.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L
Productos afectados
SolarWinds · Kiwi Syslog Server
CVEs relacionadas — SolarWinds Kiwi Syslog Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-35235MEDIUMASP.NET Debug Feature EnabledEPSS 1.3%CVE-2021-35233MEDIUMHTTP TRACK & TRACE Methods EnabledEPSS 1.0%CVE-2021-35236LOWMissing Secure Flag From SSL CookieEPSS 0.5%CVE-2021-35231MEDIUMUnquoted Path (SMB Login) VulnerabilityEPSS 0.3%