CVE-2022-28623

SQL Injection w HPE IceWall SSO 10.0 certd — zdalne wykonanie zapytań

CVSS 9.8v3.1pub. 2022-07-08upd. 2024-11-21

Podatność SQL injection w komponencie certd systemu HPE IceWall SSO 10.0 umożliwia zdalne wykonywanie nieautoryzowanych zapytań do bazy danych bez uwierzytelnienia. Krytyczny poziom CVSS 9.8 oznacza, że atakujący może przejąć pełną kontrolę nad danymi aplikacji bez żadnych uprawnień.

▸ Pokaż oryginał (EN)

Security vulnerabilities in HPE IceWall SSO 10.0 certd could be exploited remotely to allow SQL injection or unauthorized data injection. HPE has provided the following updated modules to resolve these vulnerabilities. HPE IceWall SSO version 10.0 certd library Patch 9 for RHEL and HPE IceWall SSO version 10.0 certd library Patch 9 for HP-UX.

🤖 Analiza AI

Jak działa

Podatność (CWE-89) polega na niedostatecznej walidacji lub parametryzacji danych wejściowych przekazywanych do zapytań SQL w bibliotece certd. Atakujący zdalnie, bez uwierzytelnienia, może wstrzyknąć złośliwe zapytania SQL do komponentu certd, uzyskując możliwość odczytu, modyfikacji lub usunięcia danych. Możliwa jest również nieautoryzowana iniekcja danych do systemu.

Skutki

Atakujący może uzyskać pełny dostęp do danych przechowywanych w bazie (poufność, integralność i dostępność zagrożone), w tym do danych uwierzytelniających i sesji użytkowników SSO. Możliwa jest również nieautoryzowana modyfikacja lub wstrzyknięcie danych do systemu.

Mitygacja

Należy zastosować HPE IceWall SSO version 10.0 certd library Patch 9 dla RHEL oraz HPE IceWall SSO version 10.0 certd library Patch 9 dla HP-UX, zgodnie z informacjami producenta dostępnymi w biuletynie bezpieczeństwa HPE (HPESBMU04330).