Podatności Tenable Security Center

Podatność zdalnego wykonania kodu w funkcji generowania raportów w Tenable Security Center. Uwierzytelniony użytkownik bez uprawnień administracyjnych może dostarczyć specjalnie spreparowane dane, które są niebezpiecznie przetwarzane podczas renderowania raportów po stronie serwera, co prowadzi do wykonania dowolnego kodu z uprawnieniami konta usługi.

Podatność na eskalację uprawnień w Tenable Security Center umożliwia użytkownikowi z rolą "Security Manager" i uprawnieniem "manage user" w jednej grupie modyfikowanie użytkowników należących do innych grup. To omija zamierzone ograniczenia kontroli dostępu i umożliwia nieautoryzowane zarządzanie użytkownikami między grupami.

Tenable Security Center ma podatność na wstrzyknięcie poleceń. Uwierzytelniony administrator może zmienić wartości konfiguracyjne aplikacji, aby osiągnąć wykonanie dowolnych poleceń na systemie operacyjnym podczas wyzwalania określonych operacji backendowych.

W Tenable Security Center przed wersją 6.7.0 istnieje podatność na niewłaściwą kontrolę dostępu, która pozwala uwierzytelnionemu użytkownikowi na dostęp do obszarów poza jego autoryzowanym zakresem.