CVE-2019-7001

SQL injection w Avaya IP Office Contact Center WebUI

CVSS 9.9v3.0pub. 2019-04-04upd. 2024-11-21

Podatność typu SQL injection w komponencie WebUI systemu Avaya IP Office Contact Center umożliwia uwierzytelnionemu atakującemu nieautoryzowany dostęp do danych innych użytkowników. Oceniona jako krytyczna (CVSS 9.9), stanowi poważne zagrożenie dla poufności i integralności danych przechowywanych w systemie.

▸ Pokaż oryginał (EN)

A SQL injection vulnerability in the WebUI component of IP Office Contact Center could allow an authenticated attacker to retrieve or alter sensitive data related to other users on the system. Affected versions of IP Office Contact Center include all 9.x and 10.x versions prior to 10.1.2.2.2-11201.1908. Unsupported versions not listed here were not evaluated.

🤖 Analiza AI

Jak działa

Atakujący posiadający konto w systemie może wstrzykiwać złośliwy kod SQL poprzez interfejs WebUI komponentu IP Office Contact Center. Luka pozwala na manipulację zapytaniami kierowanymi do bazy danych bez odpowiedniej walidacji i sanityzacji danych wejściowych. Dzięki temu możliwe jest odczytywanie lub modyfikowanie wrażliwych danych należących do innych użytkowników systemu. Atak może być przeprowadzony zdalnie, bez interakcji ofiary i bez konieczności posiadania uprawnień administracyjnych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych innych użytkowników systemu oraz je modyfikować. Wysoki wpływ na poufność, integralność i dostępność systemu sprawia, że kompromitacja może objąć całe środowisko contact center.

Mitygacja

Należy zaktualizować Avaya IP Office Contact Center do wersji 10.1.2.2.2-11201.1908 lub nowszej. Szczegółowe informacje dostępne są w biuletynie producenta pod adresem: https://downloads.avaya.com/css/P8/documents/101056762