1. 主页
  2. 支持
技术文章 - CS392399

Vuforia Studio 中发现的安全漏洞

已修改: 09-May-2023   


注意：本文已使用机器翻译软件翻译，以方便非英语客户阅读。但翻译内容可能包含语法错误或不准确之处。请注意， PTC对本文所含信息的翻译准确性及使用后果不承担任何责任。请在 此处 查看本文的英文原始版本以便参考。有关机器翻译的更多详情，请单击 此处 。
感谢您告诉我们。我们将尽快审阅此译文。

适用于

  • Vuforia Studio 1.0 to 9.8.0

说明

  1. 明文网页登录基本Auth

CVSS 3.1 分数： 3.7（低）

CVSS 3.1 矢量字符串： /AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

CWE： CWE-522：凭证保护不足

常见漏洞和暴露： CVE-2023-29168

研究员归因：洛克希德马丁公司 - 红队

  1. 忽略 HTTP 授权标头和会话 cookie

CVSS 3.1 分数： 1.8（低）

CVSS 3.1 矢量字符串： /AV:L/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N

CWE： CWE-285：不当授权

常见漏洞和暴露：CVE-2023-24476

研究员归属：洛克希德马丁公司 - 红队

  1. 任意文件上传

CVSS 3.1 分数： 8.0（高）

CVSS 3.1 矢量字符串： /AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H

CWE： CWE-434：无限制上传危险类型的文件

常见漏洞和暴露： CVE-2023-27881

研究员归属：洛克希德马丁公司 - 红队

  1. 任意文件删除

CVSS 3.1 分数： 6.2（中等）

CVSS 3.1 矢量字符串： /AV:N/AC:L/PR:H/UI:R/S:C/C:N/I:N/A:H

CWE： CWE-285：不当授权

常见漏洞和暴露： CVE-2023-29152

研究员归因：洛克希德马丁公司 - 红队

  1. 可修改的资源主管

CVSS 3.1 分数： 6.2（中等）

CVSS 3.1 矢量字符串： /AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:N/A:N

CWE： CWE-22：路径名对受限目录的不当限制（“路径遍历”）。

常见漏洞和暴露： CVE-2023-29502

研究员归因：洛克希德马丁公司 - 红队

  1. 没有 CSRF 令牌

CVSS 3.1 分数： 5.7（中等）

CVSS 3.1 矢量字符串： /AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N

CWE： CWE-352：跨站请求伪造（CSRF）

常见漏洞和暴露： CVE-2023-31200

研究员归因：洛克希德马丁公司 - 红队

请注意，PTC 没有任何迹象表明也没有被告知这些漏洞中的任何一个已经或正在被利用

这是文章 392399 的 PDF 版本，可能已过期。最新版本 CS392399