Múltiples vulnerabilidades en Lansweeper

Fecha de publicación 01/03/2022

Importancia

5 - Crítica

Recursos Afectados

Lansweeper 9.1.20.2.

Descripción

Marcin "Icewall" Noga, investigador de Cisco Talos, ha reportado 4 vulnerabilidades en la solución de gestión de activos informáticos Lansweeper, 3 de severidad crítica y 1 medio, cuya explotación podría permitir a un atacante realizar inyecciones SQL e inyección arbitraria de código Javascript.

Solución

El proveedor ha parcheado las vulnerabilidades.

Detalle

Las vulnerabilidades críticas se describen a continuación:

Vulnerabilidad de inyección SQL en la funcionalidad HelpdeskEmailActions.aspx, relacionada con la acción Configuration -> General Settings y está localizada en el archivo \LS\CF\HelpdeskSetupActions.cs. Se ha asignado el identificador CVE-2022-22149 para esta vulnerabilidad.
Vulnerabilidad de XSS en la funcionalidad WebUserActions.aspx, relacionada con la acción Configuration -> Website Settings y está localizada en el archivo \LS\CF\WebUserActions.cs. Se ha asignado el identificador CVE-2022-21145 para esta vulnerabilidad.
Vulnerabilidad de inyección SQL en la funcionalidad EchoAssets.aspx, relacionada con un parámetro order enviado al script /Scanning/Echo/EchoAssets.aspx. Se ha asignado el identificador CVE-2022-21234 para esta vulnerabilidad.