CVE-2021-37499
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podatność CRLF w interfejsie webowym Reprise License Manager (RLM) do wersji 14.2BL4 w parametrze hasła funkcji View License Result umożliwia zdalnym atakującym wstrzykiwanie dowolnych nagłówków HTTP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do manipulacji odpowiedziami HTTP, co może prowadzić do ataków typu cache poisoning, session fixation lub przechwytywania sesji użytkowników.
Rekomendacja
Należy natychmiast zaktualizować Reprise License Manager do wersji nowszej niż 14.2BL4, która zawiera poprawkę eliminującą podatność CRLF.
Inne podatności w Reprise License Manager
Zobacz wszystkie- CVE-2021-37500Wysokie
Podatność na przeglądanie katalogów w interfejsie webowym Reprise License Manager (RLM) przed wersją 14.2BL4 w funkcji diagnostycznej umożliwia użytkownikom RLM z wystarczającymi uprawnieniami nadpisanie dowolnego pliku na serwerze.
- CVE-2021-37498Średnie
W interfejsie webowym Reprise License Manager (RLM) do wersji 14.2BL4 wykryto podatność SSRF. Umożliwia ona zdalnemu atakującemu wysyłanie żądań do serwerów wewnętrznych oraz skanowanie portów za pomocą parametru actserver w funkcji aktywacji licencji.
- CVE-2021-45422Średnie
Reprise License Manager 14.2 zawiera podatność na odbity atak XSS w parametrze 'count' endpointu /goform/activate_process. Atak nie wymaga uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
CRLF vulnerability in Reprise License Manager (RLM) web interface through 14.2BL4 in the password parameter in View License Result function, that allows remote attackers to inject arbitrary HTTP headers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS