CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 1CVE-2022-4261 – Rapid7 Nexpose Update Validation Issue
https://notcve.org/view.php?id=CVE-2022-4261
Rapid7 Nexpose and InsightVM versions prior to 6.6.172 failed to reliably validate the authenticity of update contents. This failure could allow an attacker to provide a malicious update and alter the functionality of Rapid7 Nexpose. The attacker would need some pre-existing mechanism to provide a malicious update, either through a social engineering effort, privileged access to replace downloaded updates in transit, or by performing an Attacker-in-the-Middle attack on the update service itself. Las versiones de Rapid7 Nexpose e InsightVM anteriores a la 6.6.172 no lograron validar de manera confiable la autenticidad del contenido de la actualización. Este fallo podría permitir que un atacante proporcione una actualización maliciosa y altere la funcionalidad de Rapid7 Nexpose. • https://docs.rapid7.com/release-notes/insightvm/20221207 https://docs.rapid7.com/release-notes/nexpose/20221207 https://www.rapid7.com/blog/post/2022/12/7/cve-2022-4261-rapid7-nexpose-update-validation-issue-fixed • CWE-494: Download of Code Without Integrity Check •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2019-5641 – Rapid7 InsightVM Information Disclosure after Logout
https://notcve.org/view.php?id=CVE-2019-5641
Rapid7 InsightVM suffers from an information exposure issue whereby, when the user's session has ended due to inactivity, an attacker can use the Inspect Element browser feature to remove the login panel and view the details available in the last webpage visited by previous user Rapid7 InsightVM sufre un problema de exposición de información por el que, cuando la sesión del usuario ha finalizado por inactividad, un atacante puede usar la función del navegador Inspect Element para eliminar el panel de acceso y visualizar los detalles disponibles en la última página web visitada por el usuario anterior • https://docs.rapid7.com/release-notes/insightvm/20220830 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-613: Insufficient Session Expiration •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-5615 – Rapid7 InsightVM Stored Credential Exposure
https://notcve.org/view.php?id=CVE-2019-5615
Users with Site-level permissions can access files containing the username-encrypted passwords of Security Console Global Administrators and clear-text passwords for restoring backups, as well as the salt for those passwords. Valid credentials are required to access these files and malicious users would still need to perform additional work to decrypt the credentials and escalate privileges. This issue affects: Rapid7 InsightVM versions 6.5.11 through 6.5.49. Los usuarios con permisos Site-level pueden acceder a los archivos que contienen las contraseñas cifradas con el nombre de usuario de los Administradores Globales de la Consola de Seguridad y las contraseñas de texto sin cifrar para restaurar las copias de seguridad, así como la sal para esas contraseñas. Se requieren credenciales válidas para acceder a estos archivos y los usuarios maliciosos aún tendrían que realizar un trabajo adicional para descifrar las credenciales y escalar los privilegios. • https://help.rapid7.com/insightvm/en-us/release-notes/#6.5.50 • CWE-257: Storing Passwords in a Recoverable Format CWE-522: Insufficiently Protected Credentials •