Qlik - CVE-2023-41265
Date de publication :
Date de mise à jour :
Un défaut de contrôle de requêtes HTTP permet à un attaquant authentifié, en envoyant des requêtes spécifiquement forgées, de communiquer avec les serveurs applicatifs (Backend) et d’élever ses privilèges.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Élévation de privilèges
Exploitation
La vulnérabilité exploitée est du type
CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Qlik Sense Entreprise pour Windows
• Versions May 2023 Patch 3 et antérieures
• Versions February 2023 Patch 7 et antérieures
• Versions November 2022 Patch 10 et antérieures
• Versions August 2022 Patch 12 et antérieures
Solutions ou recommandations
Appliquer le correctif May 2023 Patch 4, February 2023 Patch 8, November 2022 Patch 11, August 2022 Patch 13 ou mettre à jour vers la version August 2023 ou ultérieure.
Des informations complémentaires sont disponibles dans le bulletin de Qlik.