Histórico da Página
CONTEÚDO
- Visão Geral
- Laudo Técnico
01. VISÃO VISÃO GERAL
Este documento visa apresentar as vulnerabilidades reportadas pelos clientes e as recomendações de como proceder em cada requisito.
02. LAUDO LAUDO TÉCNICO
Nível | Vulnerabilidade | Recomendação | ||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
INFORMATION | Password type input with auto-complete enabled | Realizamos testes internos e, apesar de não termos encontrado formas de invasão (nos navegadores mais recentes) por conta de não conter o atributo "auto-complete" nos campos de senha, iremos reforçar a segurança do programa "changePassword" colocando o atributo "auto-complete=new-password" nos campos que utilizam senha. Iremos nos basear na referência encontrada no link https://developer.mozilla.org/en-US/docs/Web/HTML/Attributes/autocomplete. Há Issue interna tratando essa questão, será liberada nas próximas atualizações. | ||||||||||||
INFORMATION | JavaScript dependencies | Estamos em constante monitoramento das vulnerabilidades quanto as versões desatualizadas de bibliotecas, com ações de atualização das bibliotecas de terceiros quando estas vulnerabilidades se tornam críticas (exposição pública de um possível ponto de ataque). | ||||||||||||
INFORMATION | Vulnerable Apache Tomcat version | Em cada nova release do ERP Datasul, nós efetuamos homologações com a última versão do Tomcat 9. Consulte o link: https://tdn.totvs.com/pages/releaseview.action?pageId=645691744 para mais informações quanto as versões. Está em nosso roadmap a homologação do produto com o Tomcat 10 | ||||||||||||
INFORMATION | Insecure Referrer Policy | Quando não houver um policy definido, o valor padrão é strict-origin-when-cross-origin, onde já atenderia o requisito. Caso seja exibido este alerta, verifique se o navegador e o servidor de aplicação Web estão corretamente atualizado para as versões homologadas. https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy | ||||||||||||
INFORMATION | Alert group Reverse proxy detected | A configuração de um proxy reverso não se caracterizaria uma vulnerabilidade no ERP Datasul. Nós até recomendamos sua utilização caso tenha a necessidade de expor o ERP para acesso externo, pois assim o Tomcat estaria mais seguro. Atualmente as configurações do proxy reverso que recomendamos podem ser visualizadas no link: https://centraldeatendimento.totvs.com/hc/pt-br/articles/360046255573-Framework-Linha-Datasul-TEC-Configura%C3%A7%C3%A3o-de-Proxy-Reverso-para-o-Datasul-for-THF-utilizando-Apache O proxy reverso também pode ser configurado com um protocolo HTTPS, acesse o link para mais informações: https://centraldeatendimento.totvs.com/hc/pt-br/articles/360045679694-DS-THF-Configura%C3%A7%C3%A3o-de-HTTPS-para-o-Datasul-for-THF-utilizando-Apache | ||||||||||||
INFORMATION | Microsoft IIS version disclosure | O Microsoft IIS pode ser configurado para remover cabeçalhos indesejados da resposta HTTP. Consulte o link para obter mais informações. https://learn.microsoft.com/pt-pt/archive/blogs/varunm/remove-unwanted-http-response-headers | ||||||||||||
LOW | ASP.NET version disclosure | Para evitar a exposição da versão do ASP.NET, precisar ser editado o arquivo “web.config”, que normalmente está em: C:\Windows\Microsoft.NET\Framework\<VERSION>\Config\web.config * Substitua a tag <VERSION> pelo versão do ASP.NET instalado no servidor. Deve ser adicionada a tag abaixo: <System.Web> * Caso não se obtenha sucesso na remoção, consulte o link: https://learn.microsoft.com/pt-pt/archive/blogs/varunm/remove-unwanted-http-response-headers para verificar mais alternativas. | ||||||||||||
LOW | Clickjacking: X-Frame-Options header | Caso tenha integração com outros produtos (Meu RH, por exemplo) não é indicado realizar a configuração do X-FRAME-OPTIONS, pois são ambientes diferentes e não se encaixaria nem com o SAMEORIGIN e nem o DENY. Caso NÃO há integração com nenhum outro produto e você utiliza apenas o ERP Datasul, deve-se configurar o Apache para que contenha a seguinte linha de código: Header always set X-Frame-Options "SAMEORIGIN" | ||||||||||||
LOW | Cookies with missing, inconsistent or contradictory properties (without SameSite) | No cenário atual, para ter acesso as requisições, é necessária uma autenticação prévia com usuário e senha do ERP Datasul, das quais, quando integradas com outros portais, utilizam Cookies para propagar a autenticação. Estamos com planejamentos de evolução e melhorias de segurança onde as requisições serão validadas por tokens. Os navegadores mais atualizados já definem o atributo SameSite=Lax para restringir o uso do Cookie e, consequentemente, evitar o Cross-Site Request Forgery (CSRF). Caso houver a necessidade de integrar o ERP com outros portais, recomendamos que use a forma de conexão HTTPS, pois assim o Cookie atribuirá o parâmetro Secure. | ||||||||||||
LOW | TLS cookie without secure flag set | O ERP Datasul já contempla as flags HttpOnly e Secure, porém o produto deve estar configurado para HTTPS. | ||||||||||||
LOW | Content Security Policy (CSP) | A recomendação para melhorar a segurança é inserir o atributo Content-Security-Policy na Header para restringir possíveis ataques de Cross Site Scripting, porém o ERP Datasul ainda não está preparado para um atributo mais restritivo na carga das páginas. Esta em nosso roadmap a inclusão deste atributo de segurança. | Neste momento não recomendamos que seja inserida a tag CSP na header pois pode impactar no correto funcionamento do ERP Datasul, desde a exibição das interfaces gráficas quanto a execução de funcionalidades internas por intermédio de scripts, porém estamos em constante evolução no produto no quesito de segurança para que seja viável a aplicação desta política em um futuro próximo.
| |||||||||||
LOW | Open Redirect | O redirecionamento das URLs após efetuado o login é necessário para que os portais utilizem a mesma engine de login do ERP Datasul, por este | LOW | Open Redirect | O redirecionamento das URLs após efetuado o login é necessário para que os portais utilizem a mesma engine de login do ERP Datasul, por este motivo não é possível remove-lo da arquitetura DTS4THF. Foi desenvolvido uma rotina para sanar a vulnerabilidade e permitir o redirecionamento apenas para as URL's definidas pelo usuário. Para configuração, deve-se verificar a documentação contida em Redirecionamento de Login (propriedades-segurança). | |||||||||
MEDIUM | Vulnerable JavaScript libraries | Há alegações que a versão do JQuery (jquery-2.1.4.min.js) praticado pela Totvs estaria diferente da versão original e que isso poderia afetar consideravelmente a segurança e o nível de confiança no produto. Foi efetuada a atualização da versão do JQuery para a 3.7.1 (DFWKDATASUL-1212), sendo expedida na release 12.1.2311. | ||||||||||||
LOW | Mensagem de erro descritiva | Através da manipulação dos parâmetros da requisição aos paths /dts/datasulrest/resources/prg/fwk/v1/menuPrograms/list e /totvs-menu/rest/documents/upload/ foi possível induzir a aplicação a retornar erros, que por serem muito descritivos revelam componentes utilizados na aplicação. Foi solucionada esta vulnerabilidade através da issue DFWKDATASUL-2320, liberada a partir da release 12.1.2407 e planejados em expedição contínua para as versões: 12.1.2403.3, 12.1.2311.9 e 12.1.2307.14. | ||||||||||||
MEDIUM | Vulnerable JavaScript libraries | Há alegações que a versão do JQuery (jquery-2.1.4.min.js) praticado pela Totvs estaria diferente da versão original e que isso poderia afetar consideravelmente a segurança e o nível de confiança no produto. Foi efetuada a atualização da versão do JQuery para a 3.7.1 (DFWKDATASUL-1212), sendo expedida na release 12.1.2311. | ||||||||||||
MEDIUM |
| Para omitir informações de erros e versão do Apache Tomcat (quando um Status Error ocorre), basta configurar o arquivo conf/server.xml do Tomcat, incluir a tag Valve com atributos className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false", a configuração deve ficar parecida com o trecho de código abaixo:
| MEDIUM |
| Para omitir informações de erros e versão do Apache Tomcat (quando um Status Error ocorre), basta configurar o arquivo conf/server.xml do Tomcat, incluir a tag Valve com atributos className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false", a configuração deve ficar parecida com o trecho de código abaixo:
Uma outra alternativa é a implementação da solução proposta em: https://tdn.totvs.com/pages/viewpage.action?pageId=776533248. disponível a partir da release 12.1.2311. | |||||||||
MEDIUM | Unencrypted connection (verified) | Quem define de fato se o sistema irá rodar em ambiente HTTP ou HTTPS é a própria equipe de Infraestrutura do cliente. Atualmente não temos um ambiente que rode “full HTTPS”, geralmente os clientes utilizam HTTPS através de um proxy como o apache e o acesso interno como HTTP. | ||||||||||||
MEDIUM | User credentials are sent in clear text | Há alegações que as credenciais estão sendo mostradas em “texto claro” nos forms do produto e sugerem que a conexão deveria ser via HTTPS para resolver e evitar isso, porém novamente quem define se o sistema irá rodar em HTTP ou HTTPS é a Infraestrutura do cliente. | ||||||||||||
MEDIUM | Strict transport security not enforced | Devido a diferenças de configurações do ambiente em nossos clientes, por reduções de custo os mesmos podem configurar o acesso externo (HTTPS) por intermédio de um proxy que por sua vez redireciona para o ambiente interno (HTTP). Por este motivo não é possível implementar esta restrição. | ||||||||||||
MEDIUM | Reflected XSS emailReminder | O parâmetro emailReminder apresentado na tela "Esqueci minha senha" possui formatações para campo de e-mail, consequentemente o risco de inserir códigos scripts é reduzido. Com o intuito de reduzir ainda mais o risco de um possível ataque XSS, foram efetuados ajustes na Issue DFWKDATASUL-1209, liberada na release 12.1.2311. | ||||||||||||
MEDIUM | No rate limiting | Para evitar possíveis ataques externos, o controle do limite das requisições pode ser realizada com parametrizações do servidor de aplicação onde está o Proxy Reverso. | ||||||||||||
MEDIUM | Cross-Site Request Forgery (CSRF) | Atualmente para ter acesso as requisições, é necessário realizar uma autenticação prévia com usuário e senha do ERP Datasul dos quais, quando integradas com outros portais, utilizam Cookies para propagar a autenticação. Estamos com planejamentos de evolução e melhorias de segurança onde as requisições serão validadas por tokens. Os navegadores mais atualizados já definem o atributo SameSite=Lax para restringir o uso do Cookie (e consequentemente evitar o CSRF). Caso houver a necessidade de integrar o ERP com outros portais, recomendamos que use o HTTPS, pois assim o Cookie atribuirá o parâmetro Secure | ||||||||||||
MEDIUM | Client-Side Desync | Estamos com planejamentos futuros para a validação de compatibilidade do protocolo HTTP/2 e tratamento de requisições POST, reduzindo assim a vulnerabilidade de CSD. | ||||||||||||
MEDIUM | Sensitive Information Disclosure | Identificados a partir da exposição de conteúdos sem relação com o ERP Datasul. O conteúdo do webapps relacionado ao Apache Tomcat deve conter somente diretórios gerados a partir do deploy de arquivos .war disponibilizados por nossa expedição. Quaisquer outros diretórios (exemplos: /docs, /examples, entre outros) devem ser removidos desta instância. Caso houver a necessidade de incluir diretórios que não pertencem a nossa expedição (para monitoramentos por exemplo), fica de responsabilidade do cliente garantir a segurança de acesso dos mesmos. | ||||||||||||
HIGH | Cross site scripting (/totvslogin/ changePassword) | Realmente, existe uma forma de invasão na tela de alteração de senha (changePassword) através do campo “Usuário”. Iremos avaliar através de Issue interna as melhores práticas para contemplar a segurança da tela referenciada neste item. | ||||||||||||
MEDIUM | User Enumeration via path traversal | Foi possível perceber que a aplicação tem como comportamento padrão a utilização do login do usuário como parte da composição para o diretório de destino ao realizar upload de arquivos /totvs-menu/rest/documents/upload/. Fazendo uso de tais informações, foi possível realizar um ataque para enumeração de usuário permitindo a descoberta do usuário “rest”. Foi solucionada esta vulnerabilidade através da issue DFWKDATASUL-2319, liberada a partir da release 12.1.2407 e planejados em expedição contínua para as versões: 12.1.2403.3, 12.1.2311.9 e 12.1.2307.14. | ||||||||||||
HIGH | Cross site scripting (/totvslogin/ changePassword) | Realmente, existe uma forma de invasão na tela de alteração de senha (changePassword) através do campo “Usuário”. Iremos avaliar através de Issue interna as melhores práticas para contemplar a segurança da tela referenciada neste item. | ||||||||||||
HIGH | Cross site scripting (/totvs-login/reminder) | Na versão da época realmente existia uma forma de invadir o | HIGH | Cross site scripting (/totvs-login/reminder) | Na versão da época realmente existia uma forma de invadir o sistema através de script XSS, porém na versão atual isso já foi solucionado, deve ser atualizado o produto para as últimas versões. | |||||||||
HIGH | Cross site scripting (/totvslogin/ reminderForm) | Na versão da época realmente existia uma forma de invadir o sistema através de script XSS, porém na versão atual isso já foi solucionado, deve ser atualizado o produto para as últimas versões. | ||||||||||||
HIGH | Login Brute Force (Ataques de força bruta no login da aplicação) | Para evitar constantes requisições no login do produto com a finalidade do descobrimento da senha, recomendamos que seja ativada a parametrização Tentativas mal sucedidas de login. Esta parametrização pode ser utilizada em conjunto com o Minutos de bloqueio temporário de login caso opte pelo desbloqueio automático depois de alguns minutos. Para mais informações de como efetuar a parametrização, consulte a documentação: https://tdn.totvs.com/pages/releaseview.action?pageId=633336230 | CVE-2019-17267 (jackson-databind-2.8.2) | Conforme link: https://access.redhat.com/security/cve/cve-2019-17267, os potenciais uso de exploração desta vulnerabilidade são: Mitigation
Apesar do arquivo jackson-databind-2.8.2.jar estar na versão que possui a vulnerabilidade, as mesmas não são exploraveis pois o produto não implementa o uso dos itens mencionados. Contudo como o produto possui compatibilidade com a versão 2.15.2 (onde a vulnerabilidade não foi identificada), estamos com planejamento interno para a atualização desta biblioteca. Issue: https://jiraproducao.totvs.com.br/browse/DFWKDATASUL-1786 | CVE-2023-20860 Security Bypass With Un-Prefixed Double Wildcard Pattern | O Spring Framework foi atualizado para a versão para a 5.3.30, sendo disponíveis a partir da release 12.1.2403 e em patch 12.1.2307.6 | ||||||||
RECOMENDAÇÃO APACHE TOMCAT | Geração de cookie somente para o path "/" | Desde a release 12.1.2209 esta opção é inserida automaticamente com a atualização via console: https://tdn.totvs.com/pages/releaseview.action?pageId=683180622, caso não esteja parametrizado sua inclusão é obrigatória. Para isto, basta editar o arquivo conf/context.xml, incluir o atribuito sessionCookiePath com o valor "/" conforme exemplo abaixo: | ||||||||||||
RECOMENDAÇÃO APACHE TOMCAT | Renomear cookie | Conforme recomendação da OWASP (Session ID Name Fingerprinting - https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html), a partir da release 12.1.2403 existe a possibilidade de editar o nome cookie. Para isto, basta editar o arquivo conf/context.xml, incluir o atribuito sessionCookieName com o valor "id" conforme exemplo abaixo: | ||||||||||||
HIGH | Path Traversal | Foi possível perceber que a funcionalidade de upload contida na URL /totvs-menu/rest/documents/upload/ permite ao usuário o acesso a diretórios não previstos pelo desenvolvedor através da técnica de Path Traversal. Foi solucionada esta vulnerabilidade através da issue DFWKDATASUL-2317, liberada a partir da release 12.1.2403 e dos patchs 12.1.2307.10 e 12.1.2311.4. | ||||||||||||
HIGH | Improper Delete Feature | Por meio de análises na funcionalidade “Action Remove”, identificamos que através do endpoint "/totvs-menu/rest/documents/action/” é possível deletar os arquivos localizados no servidor web. Foi solucionada esta vulnerabilidade através da issue DFWKDATASUL-2318, liberada a partir da release 12.1.2403 e dos patchs 12.1.2307.12 e 12.1.2311.6. | ||||||||||||
HIGH | CSRF Token Bypass | Durante as análises na aplicação, identificamos que ela utiliza token anti csrf. Porém, repetindo as requisições utilizando o mesmo token, foi possível perceber que não há uma verificação adequada deste controle, sendo possível replicar requisições sem o devido controle. Foi solucionada esta vulnerabilidade através da issue DFWKDATASUL-2316, liberada a partir da release 12.1.2407. | ||||||||||||
CVE-2019-17267 (jackson-databind-2.8.2) | Conforme link: https://access.redhat.com/security/cve/cve-2019-17267, os potenciais uso de exploração desta vulnerabilidade são: Mitigation
Apesar do arquivo jackson-databind-2.8.2.jar estar na versão que possui a vulnerabilidade, as mesmas não são exploraveis pois o produto não implementa o uso dos itens mencionados. Contudo como o produto possui compatibilidade com a versão 2.15.2 (onde a vulnerabilidade não foi identificada), estamos com planejamento interno para a atualização desta biblioteca. Issue: https://jiraproducao.totvs.com.br/browse/DFWKDATASUL-1786 | |||||||||||||
CVE-2023-20860 Security Bypass With Un-Prefixed Double Wildcard Pattern | O Spring Framework foi atualizado para a versão para a 5.3.30, sendo disponíveis a partir da release 12.1.2403 e em patch 12.1.2307.6 | |||||||||||||
RECOMENDAÇÃO APACHE TOMCAT | Geração de cookie somente para o path "/" | Desde a release 12.1.2209 esta opção é inserida automaticamente com a atualização via console: https://tdn.totvs.com/pages/releaseview.action?pageId=683180622, caso não esteja parametrizado sua inclusão é obrigatória. Para isto, basta editar o arquivo conf/context.xml, incluir o atribuito sessionCookiePath com o valor "/" conforme exemplo abaixo: | ||||||||||||
RECOMENDAÇÃO APACHE TOMCAT | Renomear cookie | Conforme recomendação da OWASP (Session ID Name Fingerprinting - https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html), a partir da release 12.1.2403 existe a possibilidade de editar o nome cookie. Para isto, basta editar o arquivo conf/context.xml, incluir o atribuito sessionCookieName com o valor "id" conforme exemplo abaixo: | ||||||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: Arbitrary File Upload Vulnerability in WEB Transport Security Issue and Potential Impact: OpenEdge Product Alert: Denial of Service Vulnerability in WEB Transport Security Issue and Potential Impact: | No ERP Datasul não utilizamos o WEB Transport para comunicações com o PASOE. Caso o PASOE seja compartilhado para outras aplicações, a recomendação da Progress é atualizar as versões conforme abaixo:
| ||||||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: Third-party software used by OpenEdge that qualifies CVEs it deems to be “high” vulnerabilities based on scores in the CVSS 3.1 base score range of 7.0 through 8.9. Security Issue, Potential Impact and Resolution: Qualifying vulnerabilities and affected components are listed on the left in this chart. The third-party version resolving each vulnerability is specified in the rightmost column. | No ERP Datasul utilizamos o PASOE na arquitetura de nosso produto, sendo recomendada a atualização do OpenEdge para as versões abaixo. Para mais detalhes quanto as vulnerabilidades que a atualização irá sanar, consulte os links:
| ||||||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: OpenEdge Authentication Gateway and AdminServer. The Progress OpenEdge team recently identified a security vulnerability in OpenEdge Release 11.7.18 and earlier, OpenEdge 12.2.13 and earlier, and OpenEdge 12.8.0. Security Issue and Potential Impact: When the OpenEdge Authentication Gateway (OEAG) is configured with an OpenEdge Domain that uses the OS local authentication provider to grant user-id and password logins on operating platforms supported by active releases of OpenEdge, a vulnerability in the authentication routines may lead to unauthorized access on attempted logins. The AdminServer logins are always potentially vulnerable because they only support OS local logins. The OEAG is only vulnerable when an administrator has configured an OpenEdge domain to use the OS local authentication provider. Resolution: All customers on all OpenEdge releases are recommended to upgrade to the latest OpenEdge version of an Active Release immediately, if possible. Links: https://www.cve.org/CVERecord?id=CVE-2024-1403 | No ERP Datasul utilizamos o OpenEdge Authentication Gateway e o AdminServer na arquitetura de nosso produto, sendo recomendada a atualização do OpenEdge para as versões abaixo e as vulnerabilidades que a atualização irá sanar: OpenEdge Authentication Gateway AdminServer
| ||||||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: OpenEdge Explorer and OpenEdge Management. The Progress OpenEdge team has identified a security vulnerability in OpenEdge Management (OEM) and OpenEdge Explorer (OEE) in versions Release 11.7 Updates through OE 11.7.18 and Release 12.2 Updates through OE 12.2.13. Security Issue and Potential Impact: The ActiveMQ third party library version 5.15.11 contains a vulnerability described by CVE-2023-46604 which is used in the OpenEdge Explorer (OEE)/OpenEdge Management (OEM) product components of OpenEdge. Resolution: The impacted OpenEdge releases and the vulnerable library version(s) are listed in the left-side columns. The fixed OpenEdge releases and versions in which the vulnerability is resolved are listed in the right-side columns. | O OpenEdge Explorer e o OpenEdge Management pode ser utilizado para gerenciamento do ERP Datasul, sendo recomendada a atualização do OpenEdge para as versões abaixo: OpenEdge Explorer O OpenEdge Explorer não é mais instalado com a licença do PASOE, ele é instalado com a licença RDBMS, OE Studio ou Dataserver. OpenEdge Management O OpenEdge Management é uma ferramenta de gerenciamento e administração do PASOE. Consulte os links abaixo para mais detalhes:
| ||||||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: Unauthenticated Content Injection in OpenEdge Management web interface via ActiveMQ discovery service The Progress OpenEdge team recently identified a security vulnerability in OpenEdge LTS Releases up to version 11.7.19, version 12.2.14 and version 12.8.2, including all the earlier minor Update levels of the LTS releases. Security Issue and Potential Impact: An ActiveMQ Discovery service is reachable by default on UDP port 6840 for OpenEdge Management (OEM) and OpenEdge Explorer (OEE) installations. This service is designed to process a custom packet structure received by any connected OEM/OEE client. No authentication is required to interact with this service and the auto-discovery feature is activated by default whenever an OEM/OEE application is started. NVD - CVE-2024-7654 (nist.gov) Resolution: In the patched version of OEE/OEM, the “auto-discovery” feature will be disabled by default. In other words, the new default value for the “allowDiscover” option will be “false”. By doing so, OEM clients will not default to receiving UDP multicast messages transmitted by remote AdminServers or other malicious actors seeking to inject HTML, CSS, other content into the OEM web interface that could spoof or deceive web interface users. | O OpenEdge Explorer e o OpenEdge Management pode ser utilizado para gerenciamento do ERP Datasul, sendo recomendada a atualização do OpenEdge para as versões abaixo:
| ||||||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: Client connections using default TLS certificates from OpenEdge may bypass TLS host name validation The Progress OpenEdge team recently identified a security vulnerability in OpenEdge LTS Releases up to version 11.7.19 and version 12.2.14, including all the earlier minor Update levels of the LTS releases. Security Issue and Potential Impact: Client connections can bypass certificate host name validation when OpenEdge default certificates are used as part of the TLS handshake for a networked OpenEdge connection. Resolution: OpenEdge default certificates are now subject to host name verification for TLS connections. The default certificates will not pass host name verification and will fail to connect. This follows the best practice to secure-by-default behavior and is not backward compatible. | Atualmente não utilizamos as conexões de cliente que usam certificados TLS no ERP Datasul, porém recomendamos a atualização conforme versões conforme abaixo:
| ||||||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: Direct local client connections to MS Agents can bypass authentication The Progress OpenEdge team recently identified a security vulnerability in OpenEdge LTS Releases up to version 11.7.18 and version 12.2.13, including all the earlier minor Update levels of the LTS releases. Security Issue and Potential Impact: A local OpenEdge client can connect directly to a MS Agent and perform requests that bypass required PASOE security checks. Once connected, an unauthorized request could execute arbitrary ABL code using the OS privileges of the MS agent process. Without proper authentication, it is possible to gain unauthorized access to the resources available on the PASOE instance. Resolution: Three remediation measures were applied to fix the vulnerable code:
| No ERP Datasul utilizamos as conexões diretas de clientes locais com o MS Agents. A recomendação da Progress é atualizar as versões conforme abaixo:
| RECOMENDAÇÃO OPENEDGE | |||||||||||
Vulnerable Version | Fixed Version | |||||||||||||
OpenEdge Release 11.7.17 and earlier | OpenEdge LTS Update 11.7.18 | |||||||||||||
OpenEdge Releases 12.2.12 and earlier | OpenEdge LTS Update 12.2.13 | |||||||||||||
OpenEdge Release 12.7 Innovation release and earlier | OpenEdge 12.8.0 | RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: Third-party software used by OpenEdge that qualifies CVEs it deems to be “high” vulnerabilities based on scores in the CVSS 3.1 base score range of 7.0 through 8.9. Security Issue, Potential Impact and Resolution: Qualifying vulnerabilities and affected components are listed on the left in this chart. The third-party version resolving each vulnerability is specified in the rightmost column. Links: | |||||||||||
CVE Number | CVSS v3.1 | Affected OpenEdge | Mitigation/Impact | Vulnerable Third-Party | Fixed Third-Party | |||||||||
9.3 | ICU collation | None | MSVC++ 2010 Runtime | Removed from product | ||||||||||
7.1 | PASOE | None | guava-31.1-jre | guava-32.1.1-jre | ||||||||||
9.8 | OpenEdge CLI | None | Perl-5.26.1 | Perl-5.38.0 | ||||||||||
7.5 | ||||||||||||||
9.8 | ||||||||||||||
9.8 | ||||||||||||||
9.1 | ||||||||||||||
9.8 | ||||||||||||||
8.2 | ||||||||||||||
8.6 | ||||||||||||||
7.5 | ||||||||||||||
7.1 | ||||||||||||||
7.8 | ||||||||||||||
9.8 | ||||||||||||||
8.1 | ||||||||||||||
8.1 | ||||||||||||||
7.8 | ||||||||||||||
7.8 | ||||||||||||||
CVE Number | CVSS | Affected OpenEdge | Mitigation/ Impact | Vulnerable | Fixed | |||||||||
7.5 | PASOE | None | tomcat-coyote-9.0.78.jar | tomcat-coyote-9.0.85.jar | ||||||||||
7.5 | ||||||||||||||
7.1 | PASOE | None | guava-27.1-jre | guava-32.1.1-jre | ||||||||||
CVE Number | CVSS | Affected OpenEdge | Mitigation/ Impact | Vulnerable | Fixed | |||||||||
7.5 | OEM | none | snappy-java-1.1.0.1.jar | snappy-java-1.1.10.5.jar | ||||||||||
7.5 | 7.5 | PASOE | none | xercesImpl-2.6.2.jar | xercesImpl-2.12.2.jar | 7.5 | SonicMQ | none | ./sonic/MQ10.0/lib/ xercesImpl.jar: | ./sonic/MQ10.0/lib/xercesImpl-2.12.2.jar: | ||||
7.0 | OEM | none | jetty-http-9.4.14.v20181114.jar | Jetty-http-9.4.53.v20231009 | ||||||||||
7.5 | ||||||||||||||
7.5 | PASOE | none | catalina-8.5.93 | catalina-8.5.96 | ||||||||||
7.5 | 7.5 | PASOE | none | tomcat-coyote-8.5.87.jar | tomcat-coyote-9.0.85.jar | |||||||||
7.5 | All | none | OpenSSL-1.1.1t | OpenSSL-1.1.1v | ||||||||||
7.5 | 7.1 | PASOE | none | guava-20.0-jre | guava-32.1.1-jre | 8.6 | OEM | none | Orientdb-core-2.2.31 | Orientdb-core-2.2.37 | ||||
7.5 | OEM | none | snappy-java-1.1.0.1.jar | snappy-java-1.1.10.5.jar | ||||||||||
7.5 | RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert: OpenEdge Authentication Gateway and AdminServer. The Progress OpenEdge team recently identified a security vulnerability in OpenEdge Release 11.7.18 and earlier, OpenEdge 12.2.13 and earlier, and OpenEdge 12.8.0. Security Issue and Potential Impact: When the OpenEdge Authentication Gateway (OEAG) is configured with an OpenEdge Domain that uses the OS local authentication provider to grant user-id and password logins on operating platforms supported by active releases of OpenEdge, a vulnerability in the authentication routines may lead to unauthorized access on attempted logins. The AdminServer logins are always potentially vulnerable because they only support OS local logins. The OEAG is only vulnerable when an administrator has configured an OpenEdge domain to use the OS local authentication provider. Resolution: All customers on all OpenEdge releases are recommended to upgrade to the latest OpenEdge version of an Active Release immediately, if possible. Links: https://www.cve.org/CVERecord?id=CVE-2024-1403 No ERP Datasul utilizamos o OpenEdge Authentication Gateway e o AdminServer na arquitetura de nosso produto, sendo recomendada a atualização do OpenEdge para as versões abaixo e as vulnerabilidades que a atualização irá sanar: OpenEdge Authentication Gateway AdminServer Vulnerable Version | Fixed Version | OpenEdge Release 11.7.18 and earlier | OpenEdge LTS Update 11.7.19
| |||||||||
RECOMENDAÇÃO OPENEDGE | OpenEdge Critical Alert:OpenEdge Explorer and OpenEdge Management. The Progress OpenEdge team has identified a security vulnerability in OpenEdge Management (OEM) and OpenEdge Explorer (OEE) in versions Release 11.7 Updates through OE 11.7.18 and Release 12.2 Updates through OE 12.2.13. Security Issue and Potential Impact: The ActiveMQ third party library version 5.15.11 contains a vulnerability described by CVE-2023-46604 which is used in the OpenEdge Explorer (OEE)/OpenEdge Management (OEM) product components of OpenEdge. Resolution: The impacted OpenEdge releases and the vulnerable library version(s) are listed in the left-side columns. The fixed OpenEdge releases and versions in which the vulnerability is resolved are listed in the right-side columns. Links: https://nvd.nist.gov/vuln/detail/CVE-2023-46604 OpenEdge Third-Party Vulnerabilities Fixed In OpenEdge LTS Update 11.7.20, OpenEdge LTS Update 12.2.16, OpenEdge LTS Update 12.8.3 This document informs you of upgrades to third-party software used by OpenEdge that generally qualifies CVEs in the NIST National Vulnerability Database (NVD) it deems to be “high” vulnerabilities based on scores in the CVSS 3.1 base score range of 7.0 through 8.9 and “critical” vulnerabilities based on CVSS 3.1 base score 9.0 and higher. Occasionally other vulnerability database will be considered when there is no CVE in the NVD, such as Sonatype Nexus Respository. Security Issue and Potential Impact: Qualifying vulnerabilities and affected components are listed on the right in this chart. The third-party version resolving each vulnerability is specified in the rightmost column. Resolution: The listed vulnerabilities are remediated by applying the OpenEdge Update. | Recomendamos a atualização do OpenEdge conforme versões abaixo, dos quais resolvem vulnerabilidades em softwares de terceiros. Para mais detalhes quanto No ERP Datasul utilizamos o OpenEdgeExplorer e o OpenEdge Management na arquitetura de nosso produto, sendo recomendada a atualização do OpenEdge para as versões abaixo eas vulnerabilidades que a atualização irá sanar :OpenEdge Explorer OpenEdge Management. , consulte os links:
| ||||||||||||
CVE-2023-46604 | Vulnerable Versions | Fixed Version | ||||||||||||
Vulnerable Components | OpenEdge Release | Third-Party Name-Version | OpenEdge Release | Third-Party Name-Version | ||||||||||
OEE/OEM | Release 11.7 Updates through OE 11.7.18 | ActiveMQ-5.15.11.jar activemq-legacy.jar | LTS Update OE 11.7.19 | ActiveMQ-5.15.16.jar | ||||||||||
OEE/OEM | Release 12.2 Updates through OE 12.2.13 | ActiveMQ-5.15.11.jar activemq-legacy.jar | LTS Update OE 12.2.14 | ActiveMQ-5.15.16.jar | OEE/OEM | All versions of OpenEdge up to 12.7 | ActiveMQ-5.15.11.jar activemq-legacy.jar | Product Release 12.8.0 | ActiveMQ-5.15.16.jar