Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la acción "Log alert to a file" dentro de la administración de acciones en Orion Platform (CVE-2021-35244)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-434 Subida sin restricciones de ficheros de tipos peligrosos
Fecha de publicación:
20/12/2021
Última modificación:
17/03/2022

Descripción

La acción "Log alert to a file" dentro de la administración de acciones permite a cualquier usuario de Orion Platform con derechos de administración de alertas de Orion escribir en cualquier archivo. Un atacante con derechos de administración de alertas de Orion podría usar esta vulnerabilidad para llevar a cabo una carga de archivos sin restricciones causando una ejecución de código remota

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:solarwinds:orion_platform:*:*:*:*:*:*:*:* 2020.2.6 (excluyendo)
cpe:2.3:a:solarwinds:orion_platform:2020.2.6:-:*:*:*:*:*:*
cpe:2.3:a:solarwinds:orion_platform:2020.2.6:hotfix1:*:*:*:*:*:*
cpe:2.3:a:solarwinds:orion_platform:2020.2.6:hotfix2:*:*:*:*:*:*
cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*