CVE-2024-23577
ŚrednieCVSS 4.3Streszczenie
Podatność w HCL Aftermarket EPC wynika z braku walidacji nagłówka HOST w żądaniach HTTP, co pozwala na akceptowanie dowolnych hostów. Może to prowadzić do zatrucia nagłówka hosta oraz błędnych konfiguracji serwera.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków typu Host header poisoning, co może skutkować przekierowaniem użytkowników na złośliwe strony, kradzieżą sesji lub naruszeniem integralności komunikacji.
Rekomendacja
Zaleca się natychmiastowe zaimplementowanie walidacji nagłówka HOST w aplikacji HCL Aftermarket EPC, aby akceptować tylko dozwolone i oczekiwane wartości hosta.
Inne podatności w HCL Aftermarket EPC
Zobacz wszystkie- CVE-2024-42214Średnie
Podatność w HCL Aftermarket EPC wynika z włączenia metody HTTP OPTIONS na serwerze WWW. Metoda ta ujawnia listę obsługiwanych metod HTTP, co umożliwia atakującemu zawężenie i zintensyfikowanie ataków.
- CVE-2024-23578Średnie
Podatność w HCL Aftermarket EPC wynika z nieprawidłowej konfiguracji polityki CORS, która zezwala na dostęp z dowolnej domeny (symbol wieloznaczny '*'). Umożliwia to atakującym wykonywanie żądań międzyoriginowych z zewnętrznych stron.
- CVE-2024-23575Średnie
Podatność w HCL Aftermarket EPC polega na zwracaniu szczegółowych komunikatów błędów, które ujawniają informacje o przetwarzaniu na serwerze. Atakujący może wykorzystać te informacje do przeprowadzenia bardziej precyzyjnego ataku.
- CVE-2024-23574Średnie
Podatność w HCL Aftermarket EPC umożliwia atakującemu stosowanie technik brute-force w celu odgadnięcia lub potwierdzenia istnienia prawidłowych użytkowników w systemie. Atak ten może prowadzić do naruszenia poufności danych poprzez identyfikację kont użytkowników.
- CVE-2024-23573Niskie
Podatność Lucky 13 w HCL Aftermarket EPC umożliwia atak typu man-in-the-middle na protokoły TLS 1.1, 1.2, DTLS 1.0/1.2 oraz starsze SSL 3.0 i TLS 1.0. Atakujący może wykorzystać tę lukę do odszyfrowania ruchu sieciowego.
- CVE-2024-23572Średnie
Podatność w HCL Aftermarket EPC wynika z przechowywania tokena sesji w ciasteczku, co zwiększa ryzyko ataku. Należy przeanalizować zawartość ciasteczka, aby określić jego funkcję.
- CVE-2024-23571Średnie
Podatność w HCL Aftermarket EPC wynika z braku odpowiedniej polityki buforowania, co pozwala na przechowywanie wrażliwych danych w lokalnej pamięci podręcznej. Inni użytkownicy mający dostęp do tego samego komputera mogą później odczytać te dane.
- CVE-2024-23570Średnie
HCL Aftermarket EPC zawiera podatność na clickjacking (Cross-Frame Scripting), która pozwala atakującemu załadować podatną aplikację w ramce iFrame na złośliwej stronie. Atakujący może następnie przeprowadzić atak typu clickjacking, prowadzący do phishingu, fałszowania żądań między witrynami (CSRF), wycieku poufnych informacji i innych zagrożeń.
- CVE-2024-23569Średnie
Brak nagłówka X-XSS-Protection w serwerze HCL Aftermarket EPC umożliwia potencjalne ataki typu Cross-Site Scripting (XSS). Podatność ta wynika z nieprawidłowej konfiguracji zabezpieczeń HTTP.
- CVE-2024-23568Średnie
Podatność w HCL Aftermarket EPC ujawnia wersję oprogramowania serwera WWW, co pozwala atakującemu na identyfikację potencjalnych luk w zabezpieczeniach, szczególnie jeśli używana jest przestarzała wersja z opublikowanymi podatnościami.
Oryginalny opis (angielski, źródło NVD)
HCL Aftermarket EPC is vulnerable since the application does not have a validation for HOST header and accepts arbitrary hosts when requested in http protocol. When an application doesn’t adequately validate or sanitize this header, it can lead to several security risks, including Host header poisoning, server misconfigurations.