Vulnerabilidad en Blue Prism Enterprise (CVE-2022-36120)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

26/08/2022

Última modificación:

08/08/2023

Descripción

Se ha detectado un problema en Blue Prism Enterprise versiones 6.0 hasta 7.01. En un entorno configurado inapropiadamente que exponga el servidor de aplicaciones de Blue Prism, es posible que un usuario autenticado realice ingeniería inversa del software de Blue Prism y omita los controles de acceso para la función administrativa getChartData. usando una cuenta de usuario de Blue Prism con pocos o ningún privilegio, el atacante puede alterar la configuración del servidor abusando del método getChartData, permitiendo que el servidor de Blue Prism ejecute cualquier procedimiento almacenado MSSQL por su nombre.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto