Inicio / Alerta Temprana / Avisos Seguridad / Múltiples vulnerabilidades en Lansweeper

Múltiples vulnerabilidades en Lansweeper

Fecha de publicación: 
01/03/2022
Importancia: 
5 - Crítica
Recursos afectados: 

Lansweeper 9.1.20.2.

Descripción: 

Marcin "Icewall" Noga, investigador de Cisco Talos, ha reportado 4 vulnerabilidades en la solución de gestión de activos informáticos Lansweeper, 3 de severidad crítica y 1 medio, cuya explotación podría permitir a un atacante realizar inyecciones SQL e inyección arbitraria de código Javascript.

Solución: 

El proveedor ha parcheado las vulnerabilidades.

Detalle: 

Las vulnerabilidades críticas se describen a continuación:

  • Vulnerabilidad de inyección SQL en la funcionalidad HelpdeskEmailActions.aspx, relacionada con la acción Configuration -> General Settings y está localizada en el archivo \LS\CF\HelpdeskSetupActions.cs. Se ha asignado el identificador CVE-2022-22149 para esta vulnerabilidad.
  • Vulnerabilidad de XSS en la funcionalidad WebUserActions.aspx, relacionada con la acción Configuration -> Website Settings y está localizada en el archivo \LS\CF\WebUserActions.cs. Se ha asignado el identificador CVE-2022-21145 para esta vulnerabilidad.
  • Vulnerabilidad de inyección SQL en la funcionalidad EchoAssets.aspx, relacionada con un parámetro order enviado al script /Scanning/Echo/EchoAssets.aspx. Se ha asignado el identificador CVE-2022-21234 para esta vulnerabilidad.

La vulnerabilidad de severidad media tiene asignado el identificador CVE-2022-21210.

Encuesta valoración