CVE-2017-9248
KrytyczneStreszczenie
W bibliotece Telerik.Web.UI.dll w Progress Telerik UI dla ASP.NET AJAX przed R2 2017 SP1 oraz Sitefinity przed wersją 10.0.6412.0 występuje niewłaściwa ochrona klucza szyfrowania Telerik.Web.UI.DialogParametersEncryptionKey oraz MachineKey. To ułatwia zdalnym atakującym obejście mechanizmów ochrony kryptograficznej, co może prowadzić do wycieku MachineKey, nieautoryzowanego przesyłania lub pobierania plików, ataków XSS lub kompromitacji ASP.NET ViewState.
Ocena ryzyka
Organizacja narażona jest na poważne ryzyko związane z bezpieczeństwem danych, w tym możliwość nieautoryzowanego dostępu do plików oraz ataków na aplikacje webowe. Potencjalne konsekwencje obejmują utratę poufności danych oraz naruszenie integralności aplikacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Telerik UI dla ASP.NET AJAX oraz Sitefinity, aby załatać tę podatność. Dodatkowo, warto przeprowadzić audyt zabezpieczeń aplikacji w celu zidentyfikowania i usunięcia potencjalnych luk w zabezpieczeniach.
Oryginalny opis (angielski, źródło NVD)
Telerik.Web.UI.dll in Progress Telerik UI for ASP.NET AJAX before R2 2017 SP1 and Sitefinity before 10.0.6412.0 does not properly protect Telerik.Web.UI.DialogParametersEncryptionKey or the MachineKey, which makes it easier for remote attackers to defeat cryptographic protection mechanisms, leading to a MachineKey leak, arbitrary file uploads or downloads, XSS, or ASP.NET ViewState compromise.