Múltiples vulnerabilidades en ICSSolution ICS Business Manager

Fecha de publicación 13/11/2023
Importancia
5 - Crítica
Recursos Afectados

ICS Business Manager, versiones:

  • 7.06.0028.2802;
  • 7.06.0028.7066;
  • 7.06.0028.7089.
Descripción

INCIBE ha coordinado la publicación de 2 vulnerabilidades que afectan a ICSSolution ICS Business Manager, las cuales han sido descubiertas por David Cámara Galindo y Andrés Elizalde Galdeano de Telefónica Tech.

A ambas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v3.1, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:

  • CVE-2023-6097: CVSS v3.1: 9.4 | CVSS: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L | CWE-89.
  • CVE-2023-6098: CVSS v3.1: 6.3 | CVSS: AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L | CWE-79.
Solución

No hay solución reportada por el momento.

Detalle
  • CVE-2023-6097: se ha encontrado una vulnerabilidad de inyección SQL en ICS Business Manager, que afecta a la versión 7.06.0028.7089. Esta vulnerabilidad podría permitir a un usuario remoto enviar una consulta SQL, especialmente diseñada, y recuperar toda la información almacenada en la base de datos. Los datos también pueden ser modificados o eliminados, causando un mal funcionamiento en la aplicación.
  • CVE-2023-6098: se ha descubierto una vulnerabilidad XSS en ICS Business Manager que afecta a la versión 7.06.0028.7066. Un atacante remoto podría enviar una cadena especialmente diseñada explotando el parámetro obdd_act, permitiendo al atacante robar la sesión de un usuario autenticado, y realizar acciones dentro de la aplicación.
Listado de referencias
ICS Solution
Etiquetas