CVE-2019-12989

CVSS 9.8 CRITICALEPSS 94.4%● KEVCWE-89

Em resumo

Citrix SD-WAN e NetScaler SD-WAN em versões antigas permitem que atacantes injetem comandos SQL maliciosos na aplicação, podendo expor ou alterar dados sensíveis armazenados no banco de dados.

Detalhe técnico

Vulnerabilidade de Injeção de SQL no Citrix SD-WAN 10.2.x (antes da versão 10.2.3) e NetScaler SD-WAN 10.0.x (antes da versão 10.0.8) permite que atacantes em rede executem consultas SQL arbitrárias sem autenticação ou com privilégios baixos, possibilitando acesso não autorizado, modificação ou exclusão de dados. O vetor de ataque é pela rede sem interação do usuário (CVSS 9.8).

Resumo gerado e traduzido por IA a partir da descrição oficial.

Citrix SD-WAN 10.2.x before 10.2.3 and NetScaler SD-WAN 10.0.x before 10.0.8 allow SQL Injection.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 2

cve_referencepacketstormsecurity.com/files/153638/Citrix-SD-WAN-Appliance-10.2.2-Authentication-Bypass-Remote-Command-Execution.htmlnão verificado exploitdbwww.exploit-db.com/exploits/47112não verificado

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

http://packetstormsecurity.com/files/153638/Citrix-SD-WAN-Appliance-10.2.2-Authentication-Bypass-Remote-Command-Execution.html https://support.citrix.com/article/CTX251987 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-12989 https://www.tenable.com/security/research/tra-2019-32 http://www.securityfocus.com/bid/109133