Summary
Progress heeft kwetsbaarheden verholpen in WhatsUp Gold.
Details
Interpretaties
Een kwaadwillende kan de kwetsbaarheden misbruiken om bij een Single User installatie het password van de applicatiegebruiker te achterhalen of wijzigen, of bij een Multi User installatie het password te wijzigen van een gebruiker met verhoogde rechten middels een SQL-Injection. Hiermee kan de kwaadwillende toegang tot de applicatie krijgen met verhoogde rechten.
Onderzoekers hebben Proof-of-Concept-code (PoC) gepubliceerd, waarmee de kwetsbaarheid met kenmerk CVE-2024-6670 kan worden aangetoond. Misbruik vereist een single-user installatie en dat de kwaadwillende toegang heeft tot de interface van het systeem. Het is goed gebruik een dergelijke beheer- en monitoring-tool als WhatsUp niet publiek toegankelijk te hebben, maar af te steunen op een separate beheeromgeving.
Oplossingen
Progress heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 3
-
Critical 9.8
WhatsUp Gold HasErrors SQL Injection Authentication Bypass Vulnerability
In WhatsUp Gold versions released before 2024.0.0, a SQL Injection vulnerability allows an unauthenticated attacker to retrieve the users encrypted password.
KEV Sep 16, 2024 -
Critical 9.8
WhatsUp Gold GetStatisticalMonitorList SQL Injection Authentication Bypass Vulnerability
In WhatsUp Gold versions released before 2024.0.0, if the application is configured with only a single user, a SQL Injection vulnerability allows an unauthenticated attacker to retrieve the users encrypted password.
-
High 8.8
WhatsUp Gold getMonitorJoin SQL Injection Privilege Escalation Vulnerability
In WhatsUp Gold versions released before 2024.0.0, a SQL Injection vulnerability allows an authenticated low-privileged attacker to achieve privilege escalation by modifying a privileged user's password.
Revision history
-
#1
Onderzoekers hebben Proof-of-Concept-code gepubliceerd.
-
#0
Initiele versie
References
-
Reference - cveprojectv5; nvd
https://community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-August-2024