CVE-2024-6670criticalbajo ataqueransomwareCWE-89

CVE-2024-6670: fallo crítico en Progress Software Corporation WhatsUp Gold

WhatsUp Gold HasErrors SQL Injection Authentication Bypass Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear WhatsUp Gold

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 9.8epss 93%
de la publicación al arma1 día
Publicada en NVD29 ago
1ª PoC+1d
metasploit29 ago
CISA KEV+18d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

  • CTIR Gov · ALERTA 17/2024Vulnerabilidade crítica no sistema de gerenciamento de rede WhatsUp Goldleer en gov.br ↗
Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2024-10-07

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Un atacante sin autenticación puede explotar un error de SQL Injection en WhatsUp Gold para robar contraseñas cifradas de usuarios sin necesidad de iniciar sesión. Esto anula completamente la autenticación y compromete la seguridad de las cuentas.

Detalle técnico

Una vulnerabilidad de SQL Injection (CWE-89) en WhatsUp Gold versiones anteriores a 2024.0.0 permite que atacantes remotos no autenticados inyecten comandos SQL maliciosos para extraer hashes de contraseñas cifradas. Sin requerir autenticación previa, el atacante accede directamente a la base de datos y compromete las credenciales.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

In WhatsUp Gold versions released before 2024.0.0, a SQL Injection vulnerability allows an unauthenticated attacker to retrieve the users encrypted password.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Progress Software Corporation · WhatsUp Gold
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Progress Software Corporation WhatsUp Gold

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-4885CRITICALWhatsUp Gold GetFileWithoutZip Directory Traversal Remote Code Execution VulnerabilityEPSS 99.3%KEVCVE-2024-5010HIGHWhatsUp Gold TestController multiple information disclosure vulnerabilitiesEPSS 70.0%CVE-2024-4883CRITICALWhatsUp Gold WriteDataFile Directory Traversal Remote Code Execution VulnerabilityEPSS 64.5%CVE-2024-46909CRITICALWhatsUp Gold WriteDataFile Directory Traversal Remote Code Execution VulnerabilityEPSS 48.9%CVE-2024-5011HIGHWhatsUp Gold TestController Chart denial of service vulnerabilityEPSS 47.1%CVE-2024-12105MEDIUMWhatsUp Gold - SnmpExtendedActiveMonitor path traversalEPSS 41.7%