Aktywnie wykorzystywana w atakach
Qlik Sense HTTP Tunneling Vulnerability
Qlik — Sense · Figuruje w katalogu CISA KEV od 2023-12-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply remediations or mitigations per vendor instructions or discontinue use of the product if remediation or mitigations are unavailable.
CVE-2023-41265
KrytyczneCVSS 9.6KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 — wyżej niż 100% wszystkich znanych CVE
Streszczenie
W Qlik Sense Enterprise dla systemu Windows zidentyfikowano podatność na tunelowanie żądań HTTP, która dotyczy wersji z maja 2023 Patch 3 i wcześniejszych, lutego 2023 Patch 7 i wcześniejszych, listopada 2022 Patch 10 i wcześniejszych oraz sierpnia 2022 Patch 12 i wcześniejszych. Umożliwia to zdalnemu atakującemu podniesienie swoich uprawnień poprzez tunelowanie żądań HTTP w surowym żądaniu HTTP.
Ocena ryzyka
Podatność ta pozwala atakującemu na wysyłanie żądań, które są wykonywane przez serwer backendowy, co może prowadzić do nieautoryzowanego dostępu do zasobów aplikacji. Organizacje powinny być świadome ryzyka związanego z potencjalnym eskalowaniem uprawnień przez złośliwe podmioty.
Rekomendacja
Zaleca się aktualizację do wersji, które zawierają poprawki, tj. sierpnia 2023 IR, maja 2023 Patch 4, lutego 2023 Patch 8, listopada 2022 Patch 11 oraz sierpnia 2022 Patch 13, aby zabezpieczyć system przed tą podatnością.
Oryginalny opis (angielski, źródło NVD)
An HTTP Request Tunneling vulnerability found in Qlik Sense Enterprise for Windows for versions May 2023 Patch 3 and earlier, February 2023 Patch 7 and earlier, November 2022 Patch 10 and earlier, and August 2022 Patch 12 and earlier allows a remote attacker to elevate their privilege by tunneling HTTP requests in the raw HTTP request. This allows them to send requests that get executed by the backend server hosting the repository application. This is fixed in August 2023 IR, May 2023 Patch 4, February 2023 Patch 8, November 2022 Patch 11, and August 2022 Patch 13.