Bigfix Platform
Уязвимости
33
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.01381
Распределение по критичности
Критический
1
Высокий
11
Средний
19
Низкий
2
Затронутые диапазоны версий
10.0.0–10.0.1310–10.0.1111.0.0–11.0.59.0.0–10.0.29.0.0–9.5.239.2–9.2.199.5.0–9.5.219.5–9.5.189.5–9.5.199.5–9.5.209.5–9.5.239.5–9.5.249.5–9.5.25≤ 10.0.2
Также сопоставлено как (исходные строки): bigfix_platform,xerces-c++
Топ уязвимостей
CVE-2021-27762Неправильно настроенные HTTP-заголовки, связанные с безопасностью: в веб-ответах отсутствовали или были неправильно настроены несколько заголовков, связанных с безопасностью.
CVE-2024-23554Cross-Site Request Forgery (CSRF) в уязвимости Session Token, которая потенциально может привести к удаленному выполнению кода (RCE).
CVE-2023-37536Переполнение целого числа в xerces-c++ 3.2.3 в платформе BigFix позволяет удаленным злоумышленникам вызвать доступ за пределами границ через HTTP-запрос.
CVE-2026-21765Платформа HCL BigFix зависит от небезопасных разрешений на частные криптографические ключи. Частные криптографические ключи, расположенные на хост-машине Windows, могут быть подвержены чрезмерно разрешительным разрешениям файловой системы.
CVE-2022-38659В определенных сценариях в Windows учетные данные оператора могут быть зашифрованы способом, который не является полностью машинно-зависимым.
CVE-2021-27767Установщик BigFix Console создан с помощью InstallShield, на который повлияла CVE-2021-41526, уязвимость, которая могла позволить локальному пользователю выполнить повышение привилегий. Эта уязвимость была устранена путем обновления до версии InstallShield с исправленной базовой уязвимостью.
CVE-2021-27766Установщик BigFix Client создан с помощью InstallShield, на который повлияла CVE-2021-41526, уязвимость, которая могла позволить локальному пользователю выполнить повышение привилегий. Эта уязвимость была устранена путем обновления до версии InstallShield с исправленной базовой уязвимостью.
CVE-2021-27765Установщик BigFix Server API создан с помощью InstallShield, на который повлияла CVE-2021-41526, уязвимость, которая могла позволить локальному пользователю выполнить повышение привилегий. Эта уязвимость была устранена путем обновления до версии InstallShield с исправленной базовой уязвимостью.
CVE-2024-23556Функциональность SSL/TLS Renegotiation, потенциально приводящая к уязвимости DoS-атаки.
CVE-2021-27761Слабая безопасность веб-транспорта (слабый TLS): злоумышленник может расшифровать данные, используя атаки.
CVE-2020-14254Наборы шифров TLS-RSA не отключены в HCL BigFix Inventory до версии v10.0.2. Если TLS 2.0 и безопасные шифры не включены, злоумышленник может пассивно записывать трафик и позже расшифровать его.
CVE-2023-45705Пользователь с правами администратора WebReports может выполнить эксплойт Server Side Request Forgery (SSRF) через параметры конфигурации SMTP.
CVE-2024-23583Злоумышленник может перехватить учетные данные через диспетчер задач и выполнить несанкционированный доступ к Client Deploy Tool в системах Windows.
CVE-2022-42453При импорте Fixlet пользователем выдается недостаточно предупреждений. Текущее предупреждающее сообщение предполагает, что владельцем скрипта является вошедший в систему пользователь, с недостаточными предупреждениями при попытке запустить скрипт.
CVE-2022-27544Авторизованные пользователи BigFix Web Reports могут видеть учетные данные SMTP в виде открытого текста.
CVE-2023-37528Межсайтовая скриптовая (XSS) уязвимость в компоненте Web Reports платформы HCL BigFix может позволить злоумышленнику использовать параметр приложения во время выполнения сохранения отчета.
CVE-2023-37527Отраженная межсайтовая скриптовая (XSS) уязвимость в компоненте Web Reports платформы HCL BigFix может позволить злоумышленнику выполнить вредоносный код javascript в сеансе приложения или в базе данных, посредством удаленной инъекции, при отображении содержимого на веб-странице.
CVE-2023-37520Неаутентифицированная уязвимость хранения межсайтового скриптинга (XSS), выявленная в BigFix Server версии 9.5.12.68, позволяющая потенциально извлекать данные. Эта уязвимость XSS находится в отчете о статусе сбора, который обслуживается BigFix Relay.
CVE-2023-37519Неаутентифицированная уязвимость хранения межсайтового скриптинга (XSS). Эта уязвимость XSS находится в отчете о статусе загрузки, который обслуживается сервером BigFix.
CVE-2020-4095"BigFix Platform хранит учетные данные в открытом виде в памяти системы. Злоумышленник, который может получить права администратора, может использовать программу для создания дампа памяти и извлечения учетных данных. Эти учетные данные могут быть использованы для дальнейшего проникновения в среду. Принцип наименьших привилегий должен применяться ко всем развертываниям BigFix, ограничивая административный доступ."
CVE-2024-42189Веб-отчеты HCL BigFix могут быть подвергнуты атаке отказа в обслуживании (DoS) из-за потенциально слабой проверки параметра API.
CVE-2024-23553Уязвимость межсайтового скриптинга (XSS) в компоненте Web Reports платформы HCL BigFix существует из-за отсутствия определенного атрибута заголовка http.
CVE-2023-37530Межсайтовая скриптовая (XSS) уязвимость в компоненте Web Reports платформы HCL BigFix может позволить злоумышленнику выполнить вредоносный код javascript на веб-странице, пытаясь получить информацию, хранящуюся в файлах cookie.
CVE-2023-37529Межсайтовая скриптовая (XSS) уязвимость в компоненте Web Reports платформы HCL BigFix может позволить злоумышленнику выполнить вредоносный код javascript на веб-странице, пытаясь получить информацию, хранящуюся в файлах cookie. Это не та же уязвимость, что и в CVE-2023-37530.
CVE-2022-27545Авторизованные пользователи BigFix Web Reports могут выполнять HTML-инъекцию для страницы административной конфигурации электронной почты.