Vulnérabilités dans OpenClinic

Date de publication :

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Fuite de données sensibles
  • Ecriture de fichiers arbitraires à des emplacements arbitraires
  • Exécution de requêtes SQL arbitraires
  • Exécution de commandes arbitraires
  • Exécution de code arbitraire

Criticité

  • Score CVSS v3 : 9.8 maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • OpenClinic GA (aucun numéro de version spécifié)

CVE

  • CVE-2020-14485
  • CVE-2020-14484
  • CVE-2020-14494
  • CVE-2020-14491
  • CVE-2020-14493
  • CVE-2020-14488
  • CVE-2020-14490
  • CVE-2020-14495
  • CVE-2020-14487

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour OpenClinic GA vers la dernière version disponible. La correction des vulnérabilités mentionnées n’est cependant pas confirmée. Il est ainsi recommandé par us-cert.gov de:

    • S’assurer de respecter le principe de moindre privilèges vis-à-vis des comptes utilisateur

    • Limiter l’exposition réseau du logiciel, et considérer une utilisation de VPN si celle-ci se révèle nécessaire

Solution de contournement

  • CVE-2020-14487 : désactiver le compte utilisateur caché dans les paramètres du logiciel

Liens