CVE-2019-10068
CVE-2019-10068
Em resumo
O serviço de staging do Kentico não validava corretamente os cabeçalhos de segurança, permitindo que invasores pulassem a autenticação e executassem código malicioso no servidor.
Detalhe técnico
Um bypass na validação de cabeçalhos de segurança no serviço de staging permite que atacantes não autenticados enviem requisições especialmente crafted contendo objetos .NET serializados controlados pelo usuário. A desserialização sem validação adequada resulta em execução remota de código (RCE) não autenticada no servidor que hospeda a instância do Kentico.
Resumo gerado e traduzido por IA a partir da descrição oficial.
An issue was discovered in Kentico 12.0.x before 12.0.15, 11.0.x before 11.0.48, 10.0.x before 10.0.52, and 9.x versions. Due to a failure to validate security headers, it was possible for a specially crafted request to the staging service to bypass the initial authentication and proceed to deserialize user-controlled .NET object input. This deserialization then led to unauthenticated remote code execution on the server where the Kentico instance was hosted.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
n/a · n/aPoCs públicas encontradas — 2
githubgithub.com/0x7a-zip/CVE-2019-10068-PoC★ 0cve_referencepacketstormsecurity.com/files/157588/Kentico-CMS-12.0.14-Remote-Command-Execution.htmlnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Quer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →