HPE Aruba Network: vulnerabilidades de inyección SQL autenticada en la interfaz de invitado basada en web de ClearPass Policy Manager

Clasificación: Importante, Solución: Arreglo oficial, Madurez del exploit: No probado, CVSSv3.1: 7.2, CVE: CVE-2024-41915, Resumen: Una vulnerabilidad en la interfaz de administración basada en web de ClearPass Policy Manager podría permitir que un atacante remoto autenticado realice ataques de inyección SQL contra la instancia de ClearPass Policy Manager. Un atacante podría explotar esta vulnerabilidad para obtener y modificar información confidencial en la base de datos subyacente, lo que podría llevar a un compromiso completo del clúster de ClearPass Policy Manager. Productos afectados: Estas vulnerabilidades afectan a ClearPass Policy Manager que ejecuta las siguientes versiones de software a menos que se indique específicamente lo contrario en la sección de detalles: – ClearPass Policy Manager 6.12.x: 6.12.1 y anteriores – ClearPass Policy Manager 6.11.x: 6.11.8 y anteriores Resolución: Actualice ClearPass Policy Manager a una de las siguientes versiones con las correcciones para resolver todos los problemas indicados en la sección de detalles. – ClearPass Policy Manager 6.12.x: 6.12.2 y posteriores – ClearPass Policy Manager 6.11.x: 6.11.9 y posteriores HPE Aruba Networking no evalúa ni aplica parches a las versiones de ClearPass Policy Manager que hayan alcanzado su hito de Fin de soporte (EoS). Las versiones compatibles a la fecha de publicación de este aviso son: – ClearPass Policy Manager 6.12.x – ClearPass Policy Manager 6.11.x Solución alternativa: para minimizar la probabilidad de que un atacante aproveche esta vulnerabilidad, HPE Aruba Networking recomienda que las interfaces de administración basadas en web se restrinjan a un segmento/VLAN de capa 2 dedicado y/o que estén controladas por políticas de firewall en la capa 3 y superiores. Consulte también: https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04675en_us&docLocale=en_US



Source link