CVE-2017-14706
KrytyczneStreszczenie
DenyAll WAF przed wersją 6.4.1 pozwala nieautoryzowanym zdalnym atakującym na uzyskanie informacji uwierzytelniających poprzez wysłanie żądania typu typeOf=debug do /webservices/download/index.php i odczytanie pola iToken w odpowiedzi.
Ocena ryzyka
Atakujący mogą zdobyć wrażliwe dane uwierzytelniające, co może prowadzić do nieautoryzowanego dostępu do systemów i danych organizacji.
Rekomendacja
Zaleca się aktualizację DenyAll WAF do wersji 6.4.1 lub nowszej, aby zniwelować tę podatność.
Oryginalny opis (angielski, źródło NVD)
DenyAll WAF before 6.4.1 allows unauthenticated remote attackers to obtain authentication information by making a typeOf=debug request to /webservices/download/index.php, and then reading the iToken field in the reply. This affects DenyAll i-Suite LTS 5.5.0 through 5.5.12, i-Suite 5.6, Web Application Firewall 5.7, and Web Application Firewall 6.x before 6.4.1, with On Premises or AWS/Azure cloud deployments.