Plataforma
other
Componente
lg-supersign-media-editor
Corrigido em
3.11.4
Uma vulnerabilidade de Directory Traversal foi descoberta no LG SuperSign Media Editor, permitindo que atacantes remotos divulguem informações sensíveis. A falha reside na falta de validação adequada de caminhos de arquivos no método getObject da classe ContentRestController. As versões afetadas são 3.11.320171108–3.11.320171108. A LG ainda não disponibilizou uma versão corrigida, mas medidas de mitigação podem ser implementadas.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante remoto acesse arquivos e diretórios no sistema, potencialmente expondo informações confidenciais, como chaves de configuração, dados de usuários ou arquivos de mídia. Como a autenticação não é necessária para explorar a vulnerabilidade, qualquer pessoa com acesso de rede ao sistema afetado pode potencialmente explorá-la. O impacto pode variar dependendo da sensibilidade dos dados armazenados no sistema, mas a divulgação de informações confidenciais pode levar a sérias consequências para a privacidade e segurança da organização.
Esta vulnerabilidade foi publicada em 03 de maio de 2024. Não há informações disponíveis sobre a exploração ativa desta vulnerabilidade ou sua inclusão no KEV da CISA. Não foram identificados Proof of Concepts (PoCs) públicos. A severidade é classificada como Alta (CVSS 7.5).
Organizations utilizing LG SuperSign Media Editor for digital signage and media management are at risk, particularly those with older, unpatched installations. Shared hosting environments where multiple users share the same server instance are also at increased risk, as a compromise of one user's account could potentially lead to the disclosure of data belonging to other users.
• linux / server:
journalctl -u LGSuperSignMediaEditor | grep -i "directory traversal"• generic web:
curl -I 'http://<target>/ContentRestController/getObject?path=../../../../etc/passwd' # Check for 200 OK and sensitive file content in headersdisclosure
Status do Exploit
EPSS
1.25% (percentil 79%)
CISA SSVC
Vetor CVSS
Embora a LG ainda não tenha lançado uma versão corrigida, algumas medidas de mitigação podem ser implementadas para reduzir o risco de exploração. Primeiramente, segmente a rede para limitar o acesso ao LG SuperSign Media Editor apenas a usuários e sistemas autorizados. Em segundo lugar, implemente regras de firewall para bloquear o tráfego de entrada não autorizado para o sistema. Em terceiro lugar, monitore os logs do sistema em busca de atividades suspeitas, como tentativas de acesso a arquivos e diretórios não autorizados. Considere a implementação de um Web Application Firewall (WAF) para filtrar o tráfego malicioso e bloquear tentativas de exploração. Verifique regularmente se há atualizações de segurança e patches da LG.
Actualizar LG SuperSign Media Editor a una versión que corrija la vulnerabilidad de directory traversal. Consultar al proveedor LG para obtener la versión actualizada o aplicar las mitigaciones recomendadas.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2023-40517 is a vulnerability allowing attackers to disclose sensitive information in LG SuperSign Media Editor due to insufficient path validation. It affects versions 3.11.320171108–3.11.320171108.
You are affected if you are using LG SuperSign Media Editor versions 3.11.320171108–3.11.320171108 and have not implemented mitigating controls.
A patch is currently unavailable. Mitigate by implementing WAF rules, restricting access to the ContentRestController endpoint, and regularly reviewing file permissions.
While no active exploitation is currently confirmed, the vulnerability's simplicity suggests a potential for exploitation. Monitor threat intelligence feeds for updates.
Refer to the LG Security Advisories page for updates and official announcements regarding CVE-2023-40517.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.