Vulnerabilidades

Se ha descubierto un problema en Quest KACE Systems Deployment Appliance (SMA) 11.0.273. Ciertos endpoints de la API incluyen una función de limitación de velocidad para minimizar los ataques de fuerza bruta. Esta protección puede omitirse eliminando la cookie kboxid.

Se ha descubierto un problema en Quest KACE Systems Deployment Appliance (SMA) 11.0.273. Utiliza una clave de cifrado simétrica codificada de forma fija para cifrar los secretos en las bases de datos MySQL. (Esta clave no es única para cada instalación.) Un atacante que obtenga acceso al servidor MySQL o a unos…

Se ha descubierto un problema en Quest KACE Systems Deployment Appliance (SMA) 11.0.273. Si un cliente restringe el acceso a la consola web por dirección IP o subredes, los endpoints de la API no quedan restringidos. Si un atacante conoce las credenciales/claves de API, todavía puede acceder al dispositivo a través de…

El agente en Quest KACE Systems Management Appliance (SMA) anterior a 14.0.97 y 14.1.x anterior a 14.1.19 potencialmente permite la escalada de privilegios en sistemas administrados.

Quest KACE Systems Management Appliance (SMA) 13.0.x (anterior a la 13.0.385), 13.1.x (anterior a la 13.1.81), 13.2.x (anterior a la 13.2.183), 14.0.x (anterior a la 14.0.341 [Parche 5]) y 14.1.x (anterior a la 14.1.101 [Parche 4]) permiten a usuarios no autenticados cargar archivos de copia de seguridad al sistema.…

Quest KACE Systems Management Appliance (SMA) 13.0.x (anterior a la 13.0.385), 13.1.x (anterior a la 13.1.81), 13.2.x (anterior a la 13.2.183), 14.0.x (anterior a la 14.0.341 [Parche 5]) y 14.1.x (anterior a la 14.1.101 [Parche 4]) contienen una vulnerabilidad de omisión de autenticación que permite a los atacantes…

En Quest KACE Systems Management Appliance (SMA) versiones hasta 12.0, es posible una colisión de hash durante la autenticación. Esto puede permitir la autenticación con credenciales no válidas

Se presenta una vulnerabilidad de inyección SQL en Quest KACE Systems Management Appliance (SMA) versiones hasta 12.0, que puede permitir una ejecución de código remota por medio del archivo download_agent_installer.php

service/rashrpt.php en Quest KACE K1000 Systems Management Appliance en versiones anteriores a la 6.4 SP3 (6.4.120822) permite a un atacante remoto ejecutar código a través de metacaracteres de shell en el parámetro kuid.

Quest KACE Systems Management Appliance Server Center versión 9.1.317, es vulnerable a una inyección SQL. El archivo afectado es software_library.php y los parámetros afectados son order[0][column] y order[0][dir].

Existe una vulnerabilidad de inyección SQL en Quest KACE Asset Management Appliance en sus versiones 6.4.120822 a 7.2, Systems Management Appliance en sus versiones 6.4.120822 a 7.2.101, y K1000 as a Service en sus versiones 7.0 a 7.2.