CVE-2024-38886
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu przeprowadzenie ataku polegającego na wstrzyknięciu ruchu sieciowego. Problem wynika z nieprawidłowej weryfikacji źródła kanału komunikacyjnego.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy ruch do komunikacji między komponentami systemu, co może prowadzić do naruszenia integralności danych, podszycia się pod uprawnione źródło lub wykonania nieautoryzowanych operacji.
Rekomendacja
Należy niezwłocznie zaktualizować system Caterease do najnowszej dostępnej wersji, która zawiera poprawkę usuwającą tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do systemu tylko do zaufanych sieci i adresów IP.
Inne podatności w Caterease
Zobacz wszystkie- CVE-2024-38887Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu rozszerzenie kontroli nad systemem operacyjnym z poziomu bazy danych. Wynika to z wykonywania poleceń z niepotrzebnie wysokimi uprawnieniami.
- CVE-2024-38889Krytyczne
Podatność SQL Injection w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych. Atakujący zdalnie może wstrzyknąć złośliwe polecenia SQL z powodu niewłaściwego neutralizowania specjalnych elementów w zapytaniach.
- CVE-2024-38883Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu obniżenie poziomu szyfrowania podczas negocjacji połączenia. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38882Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) umożliwia zdalnemu atakującemu wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie SQL. Problem wynika z nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniach systemowych.
- CVE-2024-38891Wysokie
Podatność w oprogramowaniu Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu przechwycenie ruchu sieciowego z powodu przesyłania wrażliwych informacji w postaci jawnego tekstu. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38888Średnie
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (oraz prawdopodobnie późniejszych) umożliwia lokalnemu atakującemu przeprowadzenie ataku brute force na hasła z powodu braku ograniczenia liczby nieudanych prób logowania.
- CVE-2024-38885Wysokie
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu nieautoryzowany dostęp przy użyciu znanych poświadczeń systemu operacyjnego z powodu zakodowanych na stałe poświadczeń użytkownika SQL w aplikacji klienckiej.
- CVE-2024-38884Wysokie
Podatność w systemie Caterease umożliwia lokalnemu atakującemu ominięcie mechanizmów uwierzytelniania z powodu nieprawidłowo zaimplementowanych kontroli bezpieczeństwa. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38881Wysokie
Podatność w systemie Caterease od wersji 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) wynika z przechowywania haseł użytkowników w postaci jednokierunkowych skrótów bez użycia soli. Umożliwia to zdalnemu atakującemu przeprowadzenie ataku z użyciem tablic tęczowych w celu odzyskania haseł.
Oryginalny opis (angielski, źródło NVD)
An issue in Horizon Business Services Inc. Caterease 16.0.1.1663 through 24.0.1.2405 and possibly later versions, allows a remote attacker to perform a Traffic Injection attack due to improper verification of the source of a communication channel.