CVE-2021-23885

Privilege escalation w McAfee Web Gateway przez interfejs użytkownika

CVSS 9.0v3.1pub. 2021-02-17upd. 2024-11-21

Podatność typu privilege escalation w McAfee Web Gateway (MWG) przed wersją 9.2.8 umożliwia uwierzytelnionemu użytkownikowi uzyskanie podwyższonych uprawnień przez interfejs webowy. Błąd pozwala na wykonanie poleceń na urządzeniu, co stanowi poważne zagrożenie dla bezpieczeństwa całej infrastruktury.

▸ Pokaż oryginał (EN)

Privilege escalation vulnerability in McAfee Web Gateway (MWG) prior to 9.2.8 allows an authenticated user to gain elevated privileges through the User Interface and execute commands on the appliance via incorrect improper neutralization of user input in the troubleshooting page.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji danych wejściowych użytkownika na stronie rozwiązywania problemów (troubleshooting page) w interfejsie użytkownika MWG. Uwierzytelniony użytkownik o ograniczonych uprawnieniach może za pomocą spreparowanych danych wejściowych eskalować swoje uprawnienia i wykonywać polecenia systemowe na urządzeniu. Mechanizm błędu klasyfikowany jest jako nieprawidłowe zarządzanie uprawnieniami (CWE-269).

Skutki

Atakujący z dostępem do interfejsu użytkownika może uzyskać podwyższone uprawnienia i wykonywać dowolne polecenia na urządzeniu, co może prowadzić do pełnego przejęcia kontroli nad appliance'em MWG, w tym do naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować McAfee Web Gateway do wersji 9.2.8 lub nowszej. Szczegółowe informacje o patchu dostępne są w biuletynie bezpieczeństwa producenta pod adresem: https://kc.mcafee.com/corporate/index?page=content&id=SB10349