CVE-2024-42214
ŚrednieCVSS 5.3Streszczenie
Podatność w HCL Aftermarket EPC wynika z włączenia metody HTTP OPTIONS na serwerze WWW. Metoda ta ujawnia listę obsługiwanych metod HTTP, co umożliwia atakującemu zawężenie i zintensyfikowanie ataków.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może uzyskać informacje o dostępnych metodach HTTP, co ułatwia mu przeprowadzenie ukierunkowanych ataków na serwer, potencjalnie prowadząc do naruszenia bezpieczeństwa aplikacji.
Rekomendacja
Zaleca się wyłączenie metody HTTP OPTIONS na serwerze WWW HCL Aftermarket EPC lub skonfigurowanie serwera tak, aby nie ujawniał listy obsługiwanych metod.
Inne podatności w HCL Aftermarket EPC
Zobacz wszystkie- CVE-2024-23578Średnie
Podatność w HCL Aftermarket EPC wynika z nieprawidłowej konfiguracji polityki CORS, która zezwala na dostęp z dowolnej domeny (symbol wieloznaczny '*'). Umożliwia to atakującym wykonywanie żądań międzyoriginowych z zewnętrznych stron.
- CVE-2024-23577Średnie
Podatność w HCL Aftermarket EPC wynika z braku walidacji nagłówka HOST w żądaniach HTTP, co pozwala na akceptowanie dowolnych hostów. Może to prowadzić do zatrucia nagłówka hosta oraz błędnych konfiguracji serwera.
- CVE-2024-23575Średnie
Podatność w HCL Aftermarket EPC polega na zwracaniu szczegółowych komunikatów błędów, które ujawniają informacje o przetwarzaniu na serwerze. Atakujący może wykorzystać te informacje do przeprowadzenia bardziej precyzyjnego ataku.
- CVE-2024-23574Średnie
Podatność w HCL Aftermarket EPC umożliwia atakującemu stosowanie technik brute-force w celu odgadnięcia lub potwierdzenia istnienia prawidłowych użytkowników w systemie. Atak ten może prowadzić do naruszenia poufności danych poprzez identyfikację kont użytkowników.
- CVE-2024-23573Niskie
Podatność Lucky 13 w HCL Aftermarket EPC umożliwia atak typu man-in-the-middle na protokoły TLS 1.1, 1.2, DTLS 1.0/1.2 oraz starsze SSL 3.0 i TLS 1.0. Atakujący może wykorzystać tę lukę do odszyfrowania ruchu sieciowego.
- CVE-2024-23572Średnie
Podatność w HCL Aftermarket EPC wynika z przechowywania tokena sesji w ciasteczku, co zwiększa ryzyko ataku. Należy przeanalizować zawartość ciasteczka, aby określić jego funkcję.
- CVE-2024-23571Średnie
Podatność w HCL Aftermarket EPC wynika z braku odpowiedniej polityki buforowania, co pozwala na przechowywanie wrażliwych danych w lokalnej pamięci podręcznej. Inni użytkownicy mający dostęp do tego samego komputera mogą później odczytać te dane.
- CVE-2024-23570Średnie
HCL Aftermarket EPC zawiera podatność na clickjacking (Cross-Frame Scripting), która pozwala atakującemu załadować podatną aplikację w ramce iFrame na złośliwej stronie. Atakujący może następnie przeprowadzić atak typu clickjacking, prowadzący do phishingu, fałszowania żądań między witrynami (CSRF), wycieku poufnych informacji i innych zagrożeń.
- CVE-2024-23569Średnie
Brak nagłówka X-XSS-Protection w serwerze HCL Aftermarket EPC umożliwia potencjalne ataki typu Cross-Site Scripting (XSS). Podatność ta wynika z nieprawidłowej konfiguracji zabezpieczeń HTTP.
- CVE-2024-23568Średnie
Podatność w HCL Aftermarket EPC ujawnia wersję oprogramowania serwera WWW, co pozwala atakującemu na identyfikację potencjalnych luk w zabezpieczeniach, szczególnie jeśli używana jest przestarzała wersja z opublikowanymi podatnościami.
Oryginalny opis (angielski, źródło NVD)
HCL Aftermarket EPC is vulnerable to attack since HTTP OPTIONS method is enabled on this web server. The OPTIONS method provides a list of the methods that are supported by the Web server which allows an attacker to narrow and intensify their efforts.