CVE-2020-24815
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
Podatność SSRF w generowaniu PDF w MicroStrategy 10.4, 2019 przed Update 6 i 2020 przed Update 2 pozwala uwierzytelnionym użytkownikom na dostęp do wewnętrznych zasobów sieciowych lub wyciek plików z lokalnego systemu poprzez kontenery HTML osadzone w dokumencie dashboardu. Wersja 10.4 nie otrzyma łatki, ponieważ osiągnie koniec życia 31.12.2020.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych i wycieku poufnych plików z systemu, co może prowadzić do naruszenia bezpieczeństwa danych i infrastruktury.
Rekomendacja
Zaleca się natychmiastową aktualizację MicroStrategy do wersji 2019 Update 6 lub 2020 Update 2. Dla wersji 10.4 należy rozważyć migrację do wspieranej wersji przed końcem życia.
Oryginalny opis (angielski, źródło NVD)
A Server-Side Request Forgery (SSRF) affecting the PDF generation in MicroStrategy 10.4, 2019 before Update 6, and 2020 before Update 2 allows authenticated users to access the content of internal network resources or leak files from the local system via HTML containers embedded in a dossier/dashboard document. NOTE: 10.4., no fix will be released as version will reach end-of-life on 31/12/2020.