30.07.2024

BDU:2024-10245 (CVE-2024-52055) — уязвимость компонента Manager серверного программного обеспечения Wowza Streaming Engine

По данным БДУ ФСТЭК России, по состоянию на 26.11.2024.

Средний — 6.8/10 Устранена

Уязвимость компонента Manager серверного программного обеспечения Wowza Streaming Engine связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на чтение файлов, если целевой каталог содержит файл XML

Кого касается и что делать

Уязвимое ПО: Wowza Streaming Engine (Wowza Media Systems) — версии до 4.9.1
Что делать: уязвимость устранена производителем — применить исправления: www.wowza.com

Сведения об уязвимости

Идентификаторы	BDU:2024-10245 · CVE-2024-52055
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.8; CVSS 4.0 — 8.2; CVSS 2.0 — 6.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N атака по сети, низкая сложность, нужны права администратора, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность
Вектор CVSS 4.0	AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N атака по сети, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость компонента Manager серверного программного обеспечения Wowza Streaming Engine, позволяющая нарушителю получить доступ на чтение файлов
Даты	Опубликована: 26.11.2024 · Обновлена ФСТЭК: 26.11.2024 · Выявлена: 30.07.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами