CVE-2015-5649
WysokieStreszczenie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 niewłaściwie obsługuje żądania uwierzytelnienia, co pozwala zdalnym, uwierzytelnionym użytkownikom przeprowadzać ataki LDAP injection. W rezultacie mogą oni obejść zamierzone ograniczenia logowania lub uzyskać dostęp do wrażliwych informacji, wykorzystując określone uprawnienia administracyjne grupy.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do systemu oraz wyciek wrażliwych danych, co może prowadzić do poważnych konsekwencji prawnych i reputacyjnych.
Rekomendacja
Zaleca się aktualizację Cybozu Garoon do najnowszej wersji, aby usunąć tę podatność oraz przegląd uprawnień administracyjnych w celu ograniczenia ryzyka ataków.
Inne podatności w Cybozu Garoon
Zobacz wszystkie- CVE-2016-7803Wysokie
Podatność na wstrzykiwanie SQL w Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym, uwierzytelnionym atakującym na wykonywanie dowolnych poleceń SQL za pomocą funkcji 'MultiReport'.
- CVE-2016-4907Wysokie
Cybozu Garoon w wersjach od 3.0.0 do 4.2.2 pozwala zdalnym atakującym na uzyskanie tokenów CSRF za pomocą nieokreślonych wektorów.
- CVE-2016-1218Wysokie
W podatności CVE-2016-1218 występuje luka typu SQL injection w Cybozu Garoon przed wersją 4.2.2.
- CVE-2016-1193Wysokie
Cybozu Garoon w wersjach od 3.7 do 4.2 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji dotyczących odczytu e-maili poprzez nieokreślone wektory.
- CVE-2016-1189Wysokie
Cybozu Garoon w wersjach 3.x i 4.x przed 4.2.1 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dotyczących odczytu, tworzenia lub modyfikacji portletu za pomocą nieokreślonych wektorów.
- CVE-2015-5646Wysokie
Cybozu Garoon w wersjach 3.x do 3.7.5 oraz 4.x do 4.0.3 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu PHP poprzez nieokreślone wektory.
- CVE-2014-1996Wysokie
Cybozu Garoon 3.7 przed SP4 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu oraz na wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez wywołanie API.
- CVE-2016-1219Krytyczne
Cybozu Garoon w wersjach przed 4.2.2 pozwala zdalnym atakującym na ominięcie uwierzytelniania logowania poprzez wykorzystanie interfejsu API.
- CVE-2026-57279Średnie
Cybozu Garoon zawiera podatność na cross-site scripting. Jeśli zostanie wykorzystana, może zostać wykonany dowolny skrypt w przeglądarce internetowej zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Cybozu Garoon 3.x through 3.7.5 and 4.x through 4.0.3 mishandles authentication requests, which allows remote authenticated users to conduct LDAP injection attacks, and consequently bypass intended login restrictions or obtain sensitive information, by leveraging certain group-administration privileges.