Vulnerabilidad en MeshCentral (CVE-2024-26135)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

20/02/2024

Última modificación:

16/01/2025

Descripción

MeshCentral es un sitio web completo de administración de maquinas. Las versiones anteriores a la 1.1.21 presentan una vulnerabilidad de cross-site websocket hijacking (CSWSH) dentro del endpoint control.ashx. Este componente es el mecanismo principal utilizado dentro de MeshCentral para realizar acciones administrativas en el servidor. La vulnerabilidad se puede explotar cuando un atacante puede convencer a un usuario final víctima de que haga clic en un enlace malicioso a una página que aloja un sitio controlado por el atacante. Luego, el atacante puede originar una conexión websocket entre sitios utilizando código JavaScript del lado del cliente para conectarse a `control.ashx` como usuario víctima dentro de MeshCentral. La versión 1.1.21 contiene un parche para este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.30 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto