CVE-2023-35817
Vulnérabilité moyenne dans DevExpress (DevExpress)
CVSS 5.0 · Moyenne
EPSS 0.5%
DevExpress•DevExpress•Versions : 22.2.4, <22.1.7, <23.1.3, <22.1.9, <21.2.12, <22.2.3, <22.2.6, 22.1.8, 22.2, 23, 0, 22
Description
DevExpress before 23.1.3 allows AsyncDownloader SSRF.
Gravité et risque d'exploitation
CVE-2023-35817 obtient un score CVSS de 5.0/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.48 %, ce qui la place devant 39.8 % des CVE référencées.
Que faire ?
- Vérifiez si DevExpress (versions 22.2.4, <22.1.7, <23.1.3, <22.1.9, <21.2.12, <22.2.3, <22.2.6, 22.1.8, 22.2, 23, 0, 22) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://supportcenter.devexpress.com/ticket/details/t394936/devexpress-security-advisory-updated-on-april-27-2023
- https://supportcenter.devexpress.com/ticket/details/t1161404/report-and-dashboard-server-improper-default-configuration-can-lead-to-ssrf-attacks
- https://supportcenter.devexpress.com/ticket/details/t1162045/reporting-bi-dashboard-office-file-api-web-app-configuration-to-help-prevent-ssrf-attacks
- https://code-white.com/public-vulnerability-list/
- https://supportcenter.devexpress.com/ticket/details/t1157209/server-side-request-forgery-via-asyncdownloader