CVE-2014-2504
WysokieStreszczenie
EMC Documentum D2 w wersjach 3.1 przed P20, 3.1 SP1 przed P02, 4.0 przed P10, 4.1 przed P13 oraz 4.2 przed P01 umożliwia zdalnym uwierzytelnionym użytkownikom obejście zamierzonych ograniczeń dostępu i wykonywanie dowolnych zapytań w Documentum Query Language (DQL) poprzez wywołanie metody rdzennej lub metody usługi D2FS.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do danych oraz możliwość wykonania niebezpiecznych zapytań, co może prowadzić do ujawnienia informacji lub usunięcia danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji EMC Documentum D2, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków kontroli dostępu.
Inne podatności w EMC Documentum D2
Zobacz wszystkie- CVE-2016-0888Wysokie
EMC Documentum D2 w wersjach przed 4.6 nie posiada odpowiednich list kontroli dostępu (ACL) dla obiektów konfiguracyjnych, co umożliwia zdalnym uwierzytelnionym użytkownikom modyfikację obiektów za pomocą nieokreślonych wektorów.
- CVE-2014-2515Wysokie
EMC Documentum D2 w wersjach 3.1 przed P24, 3.1SP1 przed P02, 4.0 przed P11, 4.1 przed P16 oraz 4.2 przed P05 nie ogranicza prawidłowo biletów dostarczanych przez metody D2GetAdminTicketMethod i D2RefreshCacheMethod. Umożliwia to zdalnym uwierzytelnionym użytkownikom uzyskanie uprawnień poprzez żądanie biletu superużytkownika.
Oryginalny opis (angielski, źródło NVD)
EMC Documentum D2 3.1 before P20, 3.1 SP1 before P02, 4.0 before P10, 4.1 before P13, and 4.2 before P01 allows remote authenticated users to bypass intended access restrictions and execute arbitrary Documentum Query Language (DQL) queries by calling (1) a core method or (2) a D2FS web-service method.