Plateforme
python
Composant
tryton
Corrigé dans
3.0.1
Une vulnérabilité de parcours de répertoire a été découverte dans Tryton, affectant les versions 3.0.0 et antérieures distribuées avant le 4 novembre 2013. Cette faille permet à des serveurs distants d'écrire des fichiers arbitraires sur le système cible en manipulant l'extension des rapports. La vulnérabilité se situe au niveau du client Tryton. Une version corrigée, 3.0.1, est désormais disponible.
L'exploitation réussie de cette vulnérabilité permet à un attaquant de compromettre la confidentialité, l'intégrité et la disponibilité du système Tryton. En insérant des séparateurs de chemin dans l'extension d'un rapport, un attaquant peut potentiellement écrire des fichiers dans des emplacements arbitraires sur le serveur, contournant ainsi les mesures de sécurité standard. Cela pourrait conduire à l'exécution de code malveillant, à la modification de données sensibles ou à la prise de contrôle complète du système. Bien que la description ne précise pas de cas d'exploitation réels, une telle vulnérabilité pourrait être exploitée pour compromettre des données financières, des informations clients ou d'autres données critiques gérées par Tryton.
Cette vulnérabilité a été rendue publique le 18 novembre 2013. Il n'y a pas d'indications d'une exploitation active à grande échelle à ce jour. Aucun Proof of Concept (PoC) public n'a été largement diffusé, ce qui limite le risque d'exploitation rapide. La vulnérabilité n'est pas répertoriée sur le KEV de CISA.
Statut de l'Exploit
EPSS
0.75% (percentile 73%)
Vecteur CVSS
La mitigation immédiate consiste à mettre à niveau Tryton vers la version 3.0.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à niveau n'est pas immédiatement possible, envisagez de restreindre l'accès au serveur Tryton et de surveiller les tentatives d'écriture de fichiers non autorisées. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une validation stricte des entrées utilisateur, en particulier des extensions de fichiers, peut aider à atténuer le risque. Vérifiez après la mise à niveau que la version 3.0.1 est correctement installée et que les rapports ne peuvent plus être manipulés pour écrire des fichiers arbitraires.
Aucun correctif officiel disponible. Recherchez des alternatives ou surveillez les mises à jour.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2013-4510 is a vulnerability in Tryton versions 3.0.0 and earlier that allows attackers to write arbitrary files to the server by manipulating report file extensions.
You are affected if you are running Tryton version 3.0.0 or earlier (distributed before 20131104).
Upgrade Tryton to version 3.0.1 or later. As a temporary workaround, restrict file upload locations and validate report extensions.
There is no current evidence of active exploitation campaigns, but public POCs may exist, making patching essential.
Refer to the Tryton security advisories and release notes for details: https://www.tryton.org/security/
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.