Уязвимость BDU:2024-03294

Идентификатор: BDU:2024-03294.

Наименование уязвимости: Уязвимость веб-инструмента управления ИТ-услугами iTop, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю раскрыть защищаемую информацию.

Описание уязвимости: Уязвимость веб-инструмента управления ИТ-услугами iTop связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию
Уязвимое ПО: Прикладное ПО информационных систем Combodo iTop до 3.0.4 | Прикладное ПО информационных систем Combodo iTop до 3.1.1 |

Наименование ОС и тип аппаратной платформы:
Дата выявления: 15.04.2024.
CVSS 2.0: AV:N/AC:L/Au:S/C:P/I:N/A:N
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5)

Возможные меры по устранению:
Использование рекомендаций:
https://github.com/Combodo/iTop/security/advisories/GHSA-323r-chx5-m9gm
https://github.com/Combodo/iTop/commit/89145593ef2e077529a6f7ee7cde712db637e1ab
https://github.com/Combodo/iTop/commit/343e87a8d4fc8253fd81aeaf0dcc424b9dc4eda7.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2023-38511.

Тип ошибки CWE: CWE-22
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/Combodo/iTop/security/advisories/GHSA-323r-chx5-m9gm
https://github.com/Combodo/iTop/commit/89145593ef2e077529a6f7ee7cde712db637e1ab
https://github.com/Combodo/iTop/commit/343e87a8d4fc8253fd81aeaf0dcc424b9dc4eda7
https://www.synacktiv.com/advisories/file-read-in-itop