CVE-2021-32084
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W Quest KACE SMA 11.0.273 ograniczenia dostępu do konsoli webowej (np. przez adres IP) nie dotyczą endpointów API. Jeśli atakujący zna dane uwierzytelniające lub klucze API, może uzyskać dostęp do urządzenia przez API, co może prowadzić do kompromitacji całego środowiska.
Ocena ryzyka
Atakujący może ominąć zabezpieczenia sieciowe i uzyskać pełny dostęp do urządzenia, co może skutkować przejęciem kontroli nad całym środowiskiem KACE.
Rekomendacja
Zaleca się aktualizację do wersji, w której ograniczenia IP dotyczą również API, oraz wdrożenie silnego uwierzytelniania wieloskładnikowego dla dostępu do API.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Quest KACE Systems Deployment Appliance (SMA) 11.0.273. If a customer restricts access to the web console by IP address or subnets, the API endpoints are not restricted. If credentials/API keys are known to an attacker, the appliance can still be accessed via the API, leading to a potential compromise of the entire environment that is configured for KACE.