CVE-2024-38884
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w systemie Caterease umożliwia lokalnemu atakującemu ominięcie mechanizmów uwierzytelniania z powodu nieprawidłowo zaimplementowanych kontroli bezpieczeństwa. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
Ocena ryzyka
Lokalny atakujący może uzyskać nieautoryzowany dostęp do systemu, co może prowadzić do naruszenia poufności i integralności danych oraz przejęcia kontroli nad aplikacją.
Rekomendacja
Należy niezwłocznie zaktualizować Caterease do najnowszej dostępnej wersji, która zawiera poprawkę bezpieczeństwa. Ograniczyć dostęp lokalny do systemu tylko do zaufanych użytkowników.
Inne podatności w Caterease
Zobacz wszystkie- CVE-2024-38887Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu rozszerzenie kontroli nad systemem operacyjnym z poziomu bazy danych. Wynika to z wykonywania poleceń z niepotrzebnie wysokimi uprawnieniami.
- CVE-2024-38889Krytyczne
Podatność SQL Injection w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych. Atakujący zdalnie może wstrzyknąć złośliwe polecenia SQL z powodu niewłaściwego neutralizowania specjalnych elementów w zapytaniach.
- CVE-2024-38886Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu przeprowadzenie ataku polegającego na wstrzyknięciu ruchu sieciowego. Problem wynika z nieprawidłowej weryfikacji źródła kanału komunikacyjnego.
- CVE-2024-38883Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu obniżenie poziomu szyfrowania podczas negocjacji połączenia. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38882Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) umożliwia zdalnemu atakującemu wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie SQL. Problem wynika z nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniach systemowych.
- CVE-2024-38891Wysokie
Podatność w oprogramowaniu Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu przechwycenie ruchu sieciowego z powodu przesyłania wrażliwych informacji w postaci jawnego tekstu. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38888Średnie
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (oraz prawdopodobnie późniejszych) umożliwia lokalnemu atakującemu przeprowadzenie ataku brute force na hasła z powodu braku ograniczenia liczby nieudanych prób logowania.
- CVE-2024-38885Wysokie
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu nieautoryzowany dostęp przy użyciu znanych poświadczeń systemu operacyjnego z powodu zakodowanych na stałe poświadczeń użytkownika SQL w aplikacji klienckiej.
- CVE-2024-38881Wysokie
Podatność w systemie Caterease od wersji 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) wynika z przechowywania haseł użytkowników w postaci jednokierunkowych skrótów bez użycia soli. Umożliwia to zdalnemu atakującemu przeprowadzenie ataku z użyciem tablic tęczowych w celu odzyskania haseł.
Oryginalny opis (angielski, źródło NVD)
An issue in Horizon Business Services Inc. Caterease 16.0.1.1663 through 24.0.1.2405 and possibly later versions, allows a local attacker to perform an Authentication Bypass attack due to improperly implemented security checks for standard authentication mechanisms