CVE-2021-27771highCWE-22CWE-434

CVE-2021-27771: falha de alta gravidade em HCL Software Sametime

HCL Sametime is susceptible a file transfer service vulnerability

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Sametime

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.2epss 0.7%
Em resumo

O HCL Sametime possui uma falha onde invasores podem modificar o cookie de ID de sessão do usuário para fazer upload de arquivos não autorizados ou deletar diretórios, interrompendo o serviço. Isso acontece porque a aplicação usa o mesmo ID de sessão para chat e transferência de arquivos sem validação adequada.

Detalhe técnico

A vulnerabilidade permite que invasores manipulem o cookie SID (ID de Sessão) usado em operações de transferência de arquivos, permitindo upload arbitrário de arquivos (CWE-434) e exclusão de diretórios via path traversal (CWE-22). O ataque requer interação com a aplicação Sametime e resulta tanto em comprometimento de integridade quanto negação de serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.
User SID can be modified resulting in an Arbitrary File Upload or deletion of directories causing a Denial of Service. When interacting in a normal matter with the Sametime chat application, users hold a cookie containing their session ID (SID). This value is also used when sending chat messages, receiving notifications and/or transferring files.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:H
Produtos afetados
HCL Software · Sametime
CVEs relacionadas — HCL Software Sametime

No mesmo produto, das mais perigosas para as menos.

CVE-2021-27769MEDIUMHCL Sametime is vulnerable to an information disclosureEPSS 0.8%CVE-2021-27770MEDIUMHCL Sametime is vulnerable to arbitrary HTTP requestsEPSS 0.7%CVE-2021-27772HIGHHCL Sametime is vulnerable to an information disclosureEPSS 0.7%CVE-2021-27773MEDIUMHCL Sametime is vulnerable to clickjackingEPSS 0.5%CVE-2023-50355LOWHCL Sametime is impacted by generation of error messages containing sensitive informationEPSS 0.2%CVE-2024-30122MEDIUMHCL Sametime is impacted by misconfigured security related HTTP headersEPSS 0.2%