9.8Crítica
KEV
CVE-2017-11317Telerik UI for ASP.NET AJAX Unrestricted File Upload Vulnerability
Explotación conocida — Telerik UI for ASP.NET AJAX Unrestricted File Upload Vulnerability
CISA confirmó el 11.04.2022 que esta vulnerabilidad se usa en ataques reales. Plazo para las agencias federales de EE. UU.: 02.05.2022.
Acción requerida: Apply updates per vendor instructions. https://nvd.nist.gov/vuln/detail/CVE-2017-11317
Descripción
Telerik.Web.UI in Progress Telerik UI for ASP.NET AJAX before R1 2017 and R2 before R2 2017 SP2 uses weak RadAsyncUpload encryption, which allows remote attackers to perform arbitrary file uploads or execute arbitrary code.
Debilidad (CWE):
CWE-326
Datos: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Se publican tal como los indican las fuentes, en inglés.
Productos y versiones afectados
| Fabricante | Producto | Versiones | |
|---|---|---|---|
| telerik | ui for asp.net ajax | ≤ 2016.3.1027 |
Referencias y parches
- 43874 exploitExploitThird Party AdvisoryVDB Entry
- http://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/unrestricted-file-upload MitigationVendor Advisory
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2018-0006 Third Party Advisory
- http://packetstormsecurity.com/files/159653/Telerik-UI-ASP.NET-AJAX-RadAsyncUpload-Deserialization.html ExploitThird Party AdvisoryVDB Entry
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-11317 US Government Resource
Coincidencias CPE (NVD) (3)
cpe:2.3:a:telerik:ui_for_asp.net_ajax:*:*:*:*:*:*:*:*≤ 2016.3.1027cpe:2.3:a:telerik:ui_for_asp.net_ajax:2017.2.503:*:*:*:*:*:*:*cpe:2.3:a:telerik:ui_for_asp.net_ajax:2017.2.621:*:*:*:*:*:*:*