CVE-2024-23573
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność Lucky 13 w HCL Aftermarket EPC umożliwia atak typu man-in-the-middle na protokoły TLS 1.1, 1.2, DTLS 1.0/1.2 oraz starsze SSL 3.0 i TLS 1.0. Atakujący może wykorzystać tę lukę do odszyfrowania ruchu sieciowego.
Ocena ryzyka
Organizacja narażona jest na przechwycenie i odszyfrowanie poufnych danych przesyłanych między klientem a serwerem, co może prowadzić do wycieku informacji lub naruszenia integralności komunikacji.
Rekomendacja
Należy natychmiast wyłączyć obsługę protokołów SSL 3.0, TLS 1.0 i TLS 1.1 oraz DTLS 1.0, a także zastosować najnowsze łatki bezpieczeństwa od HCL dla Aftermarket EPC.
Inne podatności w HCL Aftermarket EPC
Zobacz wszystkie- CVE-2024-23564Krytyczne
Podatność w HCL Aftermarket EPC umożliwia nieautoryzowanemu użytkownikowi przechwycenie haseł z serwera poprzez manipulację odpowiedzią serwera. Brak walidacji żądań e-mail pozwala na przekierowanie haseł na własny adres e-mail atakującego.
- CVE-2024-42214Średnie
Podatność w HCL Aftermarket EPC wynika z włączenia metody HTTP OPTIONS na serwerze WWW. Metoda ta ujawnia listę obsługiwanych metod HTTP, co umożliwia atakującemu zawężenie i zintensyfikowanie ataków.
- CVE-2024-23578Średnie
Podatność w HCL Aftermarket EPC wynika z nieprawidłowej konfiguracji polityki CORS, która zezwala na dostęp z dowolnej domeny (symbol wieloznaczny '*'). Umożliwia to atakującym wykonywanie żądań międzyoriginowych z zewnętrznych stron.
- CVE-2024-23577Średnie
Podatność w HCL Aftermarket EPC wynika z braku walidacji nagłówka HOST w żądaniach HTTP, co pozwala na akceptowanie dowolnych hostów. Może to prowadzić do zatrucia nagłówka hosta oraz błędnych konfiguracji serwera.
- CVE-2024-23575Średnie
Podatność w HCL Aftermarket EPC polega na zwracaniu szczegółowych komunikatów błędów, które ujawniają informacje o przetwarzaniu na serwerze. Atakujący może wykorzystać te informacje do przeprowadzenia bardziej precyzyjnego ataku.
- CVE-2024-23574Średnie
Podatność w HCL Aftermarket EPC umożliwia atakującemu stosowanie technik brute-force w celu odgadnięcia lub potwierdzenia istnienia prawidłowych użytkowników w systemie. Atak ten może prowadzić do naruszenia poufności danych poprzez identyfikację kont użytkowników.
- CVE-2024-23572Średnie
Podatność w HCL Aftermarket EPC wynika z przechowywania tokena sesji w ciasteczku, co zwiększa ryzyko ataku. Należy przeanalizować zawartość ciasteczka, aby określić jego funkcję.
- CVE-2024-23571Średnie
Podatność w HCL Aftermarket EPC wynika z braku odpowiedniej polityki buforowania, co pozwala na przechowywanie wrażliwych danych w lokalnej pamięci podręcznej. Inni użytkownicy mający dostęp do tego samego komputera mogą później odczytać te dane.
- CVE-2024-23570Średnie
HCL Aftermarket EPC zawiera podatność na clickjacking (Cross-Frame Scripting), która pozwala atakującemu załadować podatną aplikację w ramce iFrame na złośliwej stronie. Atakujący może następnie przeprowadzić atak typu clickjacking, prowadzący do phishingu, fałszowania żądań między witrynami (CSRF), wycieku poufnych informacji i innych zagrożeń.
- CVE-2024-23569Średnie
Brak nagłówka X-XSS-Protection w serwerze HCL Aftermarket EPC umożliwia potencjalne ataki typu Cross-Site Scripting (XSS). Podatność ta wynika z nieprawidłowej konfiguracji zabezpieczeń HTTP.
Oryginalny opis (angielski, źródło NVD)
HCL Aftermarket EPC is vulnerable to attack since the Application is vulnerable to Lucky 13. that makes the SS LLUCKY13 possible affects the TLS1.1and 1.2 and DTLS1.0 or 1.2 implementations . It also affects previous versions such as SSL3.0 and TLS1.0. This can also be considered a type of man-in-the-middle attack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS