CVE-2023-35814
Vulnérabilité faible dans DevExpress (DevExpress)
CVSS 3.5 · Faible
EPSS 0.6%
DevExpress•DevExpress•Versions : 22.2.4, <22.1.7, <23.1.3, <22.1.9, <21.2.12, <22.2.3, <22.2.6, 22.1.8, 22.2, 23, 0, 22
Description
DevExpress before 23.1.3 does not properly protect XtraReport serialized data in ASP.NET web forms.
Gravité et risque d'exploitation
CVE-2023-35814 obtient un score CVSS de 3.5/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.60 %, ce qui la place devant 47.9 % des CVE référencées.
Que faire ?
- Vérifiez si DevExpress (versions 22.2.4, <22.1.7, <23.1.3, <22.1.9, <21.2.12, <22.2.3, <22.2.6, 22.1.8, 22.2, 23, 0, 22) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://supportcenter.devexpress.com/ticket/details/t394936/devexpress-security-advisory-updated-on-april-27-2023
- https://code-white.com/public-vulnerability-list/
- https://supportcenter.devexpress.com/ticket/details/t1141158/missing-protection-of-xtrareport-serialized-data-in-asp-net-web-forms
- https://supportcenter.devexpress.com/ticket/details/t1160535/web-reporting-well-formed-request-to-a-report-control-s-backend-can-use
- https://supportcenter.devexpress.com/ticket/details/t1158413/the-allowpassingdatasourceconnectionparameterstoclient-method-may-allow-untrusted-access