CVE-2024-38889
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych. Atakujący zdalnie może wstrzyknąć złośliwe polecenia SQL z powodu niewłaściwego neutralizowania specjalnych elementów w zapytaniach.
Ocena ryzyka
Ryzyko dla organizacji obejmuje nieautoryzowany dostęp do bazy danych, wyciek wrażliwych danych, modyfikację lub usunięcie danych oraz potencjalne przejęcie kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu Caterease do najnowszej dostępnej wersji oraz wdrożenie mechanizmów walidacji i parametryzacji zapytań SQL w celu zapobiegania atakom SQL Injection.
Inne podatności w Caterease
Zobacz wszystkie- CVE-2024-38887Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu rozszerzenie kontroli nad systemem operacyjnym z poziomu bazy danych. Wynika to z wykonywania poleceń z niepotrzebnie wysokimi uprawnieniami.
- CVE-2024-38886Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych umożliwia zdalnemu atakującemu przeprowadzenie ataku polegającego na wstrzyknięciu ruchu sieciowego. Problem wynika z nieprawidłowej weryfikacji źródła kanału komunikacyjnego.
- CVE-2024-38883Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu obniżenie poziomu szyfrowania podczas negocjacji połączenia. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38882Krytyczne
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) umożliwia zdalnemu atakującemu wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie SQL. Problem wynika z nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniach systemowych.
- CVE-2024-38891Wysokie
Podatność w oprogramowaniu Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu przechwycenie ruchu sieciowego z powodu przesyłania wrażliwych informacji w postaci jawnego tekstu. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38888Średnie
Podatność w systemie Caterease firmy Horizon Business Services Inc. w wersjach od 16.0.1.1663 do 24.0.1.2405 (oraz prawdopodobnie późniejszych) umożliwia lokalnemu atakującemu przeprowadzenie ataku brute force na hasła z powodu braku ograniczenia liczby nieudanych prób logowania.
- CVE-2024-38885Wysokie
Podatność w systemie Caterease firmy Horizon Business Services Inc. umożliwia zdalnemu atakującemu nieautoryzowany dostęp przy użyciu znanych poświadczeń systemu operacyjnego z powodu zakodowanych na stałe poświadczeń użytkownika SQL w aplikacji klienckiej.
- CVE-2024-38884Wysokie
Podatność w systemie Caterease umożliwia lokalnemu atakującemu ominięcie mechanizmów uwierzytelniania z powodu nieprawidłowo zaimplementowanych kontroli bezpieczeństwa. Problem dotyczy wersji od 16.0.1.1663 do 24.0.1.2405 oraz prawdopodobnie późniejszych.
- CVE-2024-38881Wysokie
Podatność w systemie Caterease od wersji 16.0.1.1663 do 24.0.1.2405 (i prawdopodobnie nowszych) wynika z przechowywania haseł użytkowników w postaci jednokierunkowych skrótów bez użycia soli. Umożliwia to zdalnemu atakującemu przeprowadzenie ataku z użyciem tablic tęczowych w celu odzyskania haseł.
Oryginalny opis (angielski, źródło NVD)
An issue in Horizon Business Services Inc. Caterease 16.0.1.1663 through 24.0.1.2405 and possibly later versions, allows a remote attacker to perform SQL Injection due to improper neutralization of special elements used in an SQL command.