प्लेटफ़ॉर्म
other
घटक
avaya-control-manager
में ठीक किया गया
8.0.1
7.0.1
CVE-2019-7003 Avaya Control Manager के रिपोर्टिंग घटक में एक गंभीर SQL इंजेक्शन भेद्यता है। यह भेद्यता हमलावरों को संवेदनशील डेटा तक पहुंचने और संभावित रूप से सिस्टम पर अन्य उपयोगकर्ताओं से संबंधित जानकारी प्राप्त करने की अनुमति दे सकती है। यह भेद्यता Avaya Control Manager के 7.x और 8.0.x संस्करणों को प्रभावित करती है जो 8.0.4.0 से पहले के हैं। Avaya ने संस्करण 8.0.4.0 में एक पैच जारी किया है।
यह SQL इंजेक्शन भेद्यता हमलावरों को Avaya Control Manager सिस्टम के डेटाबेस के साथ सीधे इंटरैक्ट करने की अनुमति देती है। हमलावर SQL कमांड इंजेक्ट करके संवेदनशील जानकारी जैसे उपयोगकर्ता नाम, पासवर्ड, कॉन्फ़िगरेशन डेटा और अन्य महत्वपूर्ण जानकारी निकाल सकते हैं। इस भेद्यता का उपयोग सिस्टम को संशोधित करने, डेटा को हटाने या सिस्टम पर अनधिकृत क्रियाएं करने के लिए भी किया जा सकता है। चूंकि भेद्यता प्रमाणीकरण की आवश्यकता के बिना शोषण की जा सकती है, इसलिए इसका प्रभाव बहुत अधिक है। एक सफल शोषण से डेटा उल्लंघन, सिस्टम समझौता और संभावित रूप से सेवा व्यवधान हो सकता है। यह भेद्यता अन्य प्रणालियों में आगे बढ़ने के लिए एक प्रारंभिक बिंदु के रूप में भी काम कर सकती है, जिससे हमलावर नेटवर्क के भीतर अधिक नियंत्रण प्राप्त कर सकते हैं।
CVE-2019-7003 को सार्वजनिक रूप से 2019-07-11 को घोषित किया गया था। इस भेद्यता के लिए सार्वजनिक रूप से उपलब्ध शोषण अभी तक व्यापक रूप से रिपोर्ट नहीं किए गए हैं, लेकिन SQL इंजेक्शन भेद्यताओं की प्रकृति को देखते हुए, यह संभावना है कि शोषण विकसित किए जाएंगे और वितरित किए जाएंगे। CISA ने इस CVE को अपनी ज्ञात भेद्यता सूची (KEV) में शामिल नहीं किया है। इस भेद्यता की गंभीरता को देखते हुए, संगठनों को इसे गंभीरता से लेना चाहिए और तुरंत आवश्यक शमन उपाय लागू करने चाहिए।
Organizations utilizing Avaya Control Manager in environments with direct external access to the reporting component are at significant risk. Specifically, deployments with weak network segmentation or inadequate input validation are particularly vulnerable. Shared hosting environments where multiple customers share the same Avaya Control Manager instance also face increased exposure.
• linux / server:
journalctl -u avaya-control-manager -g 'SQL injection' | grep -i error• generic web:
curl -I <avaya_control_manager_reporting_endpoint> | grep SQL• database (mysql):
SELECT user, password FROM mysql.user WHERE user LIKE '%admin%';disclosure
एक्सप्लॉइट स्थिति
EPSS
0.63% (70% शतमक)
CVSS वेक्टर
CVE-2019-7003 को कम करने के लिए, Avaya Control Manager को संस्करण 8.0.4.0 या बाद के संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक अस्थायी उपाय के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) को कॉन्फ़िगर किया जा सकता है ताकि SQL इंजेक्शन हमलों को ब्लॉक किया जा सके। WAF नियमों को विशेष रूप से Avaya Control Manager के रिपोर्टिंग घटक को लक्षित करने वाले सामान्य SQL इंजेक्शन पैटर्न को पहचानने और ब्लॉक करने के लिए तैयार किया जाना चाहिए। इसके अतिरिक्त, सिस्टम तक पहुंच को सीमित करना और मजबूत प्रमाणीकरण नीतियों को लागू करना भेद्यता के जोखिम को कम करने में मदद कर सकता है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता को सफलतापूर्वक संबोधित किया गया है, रिपोर्टिंग घटक के माध्यम से SQL इंजेक्शन प्रयासों का परीक्षण करके सत्यापन करें।
Avaya Control Manager को संस्करण 8.0.4.0 या बाद के संस्करण में अपडेट करें। यह रिपोर्टिंग घटक में (SQL Injection) भेद्यता को ठीक करता है।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2019-7003 Avaya Control Manager के रिपोर्टिंग घटक में एक SQL इंजेक्शन भेद्यता है जो हमलावरों को संवेदनशील डेटा तक पहुंचने की अनुमति दे सकती है।
यदि आप Avaya Control Manager के संस्करण 7.0–8.0.x का उपयोग कर रहे हैं जो 8.0.4.0 से पहले के हैं, तो आप प्रभावित हैं।
Avaya Control Manager को संस्करण 8.0.4.0 या बाद के संस्करण में तुरंत अपडेट करें।
हालांकि व्यापक शोषण की रिपोर्ट नहीं की गई है, लेकिन SQL इंजेक्शन भेद्यताओं की प्रकृति को देखते हुए, यह संभावना है कि शोषण विकसित किए जाएंगे।
Avaya की सुरक्षा सलाहकार वेबसाइट पर जाएं: [https://www.avayasolutions.com/security-advisories](https://www.avayasolutions.com/security-advisories)
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।