Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Múltiples vulnerabilidades en Lansweeper

Fecha de publicación 02/12/2022
Identificador

INCIBE-2022-1040

Importancia
5 - Crítica
Recursos Afectados

Lansweeper 10.1.1.0.

Descripción

Marcin ‘Icewall’ Noga, investigador de Cisco Talos, ha descubierto 6 vulnerabilidades de severidad crítica en Lansweeper, cuya explotación podría permitir lectura y subida de archivos aleatorios o inyección de código JavaScript.

Solución
  • Actualizar Lansweeper a una versión superior a 10.1.1.0.
  • Las reglas de SNORT 59990-59992, 59999-60000, 60001-60002, 60054-60056, 60142-60144 y 60219 detectan intentos de explotación contra estas vulnerabilidades.
Detalle

Los tipos de vulnerabilidades identificadas y sus correspondientes identificadores son:

  • Limitación incorrecta de nombre de ruta a un directorio restringido (path traversal): CVE-2022-32573, CVE-2022-29517, CVE-2022-29511 y CVE-2022-27498. Un atacante podría enviar una petición HTTP especialmente diseñada para explotar estas vulnerabilidades.
  • Omisión de sanitización en funcionalidades que podría provocar un Cross-Site Scripting (XSS): CVE-2022-28703 y CVE-2022-32763.

Encuesta valoración

Listado de referencias
Vulnerability Spotlight: Lansweeper directory traversal and cross-site scripting vulnerabilities
Etiquetas