Vulnerabilidad en el URI MobaXterm://"calc" en el manejador de protocolo en el MobaXterm (CVE-2019-16305)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-77
Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
14/09/2019
Última modificación:
24/08/2020
Descripción
En MobaXterm versiones 11.1 y 12.1, el manejador de protocolo es vulnerable a la inyección de comandos. Un enlace diseñado puede activar una ventana emergente que pregunta al usuario si desea ejecutar MobaXterm para manejar el enlace. Si es aceptado, aparece otra ventana emergente preguntando confirmación adicional. Si esto es también aceptado, es alcanzada una ejecución de comando, como es demostrado por el URI MobaXterm://"calc".
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA
Puntuación base 2.0
6.80
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:mobatek:mobaxterm:11.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:mobatek:mobaxterm:12.1:*:*:*:*:*:*:* | ||
cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página