Qlik Sense Enterprise for Windows は、HTTP リクエストスマグリングとパストラバーサルの影響を受けます。特定の条件下での 2 番目の脆弱性を利用して、認証されていないリモートコード実行が取得される可能性があります。

Qlik Sense Enterprise for Windows is affected by a Path Traversal as well as an HTTP Request Smuggling, under specific conditions, the second vulnerability can be used to obtain an unauthenticated Remote Code Execution.

Qlik Sense Enterprise for Windows 受到路徑遊走弱點和 HTTP 要求走私弱點影響，在特定情況下，攻擊者可利用第二個弱點在未經驗證的情況下從遠端執行程式碼。

Qlik Sense Enterprise for Windows 受到路径遍历漏洞和 HTTP 请求走私漏洞的影响，在特定情况下，攻击者可利用第二个漏洞在未经身份验证的情况下远程执行代码。

The version of Qlik Sense Enterprise installed on the remote Windows host is prior August 2022 Patch 14, November 2022 prior to Patch 11, February 2023 prior to Patch 8 or May 2023 prior to Patch 4. It is, therefore, affected by multiple vulnerabilities.

 - An HTTP tunneling vulnerability due to improper validation of HTTP headers. A remote attacker is able to    elevate their privilege by tunneling HTTP requests, allowing them to execute HTTP requests on the backend    server hosting the repository application. (CVE-2023-41265)

 - A path traversal vulnerability due to improper validation of user-supplied input. An unauthenticated,    remote attacker can generate an anonymous session which allows them to perform HTTP requests to    unauthorized endpoints. (CVE-2023-41266)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの Windows ホストにインストールされている Qlik Sense Enterprise のバージョンは、2022 年 8 月パッチ 14 より前、2022 年 11 月のパッチ 11 より前、2023 年 2 月のパッチ 8 より前、または 2023 年 5 月パッチ 4 より前です。したがって、複数の脆弱性の影響を受けます。

 - HTTP ヘッダーの不適切な検証による HTTP トンネリングの脆弱性。リモートの攻撃者は、HTTP リクエストをトンネリングすることで自分の権限を昇格させることができ、リポジトリアプリケーションをホストしているバックエンドサーバーで HTTP リクエストを実行できます。(CVE-2023-41265)

 - ユーザー指定の入力を不適切に検証していることに起因する、パストラバーサルの脆弱性。認証されていないリモートの攻撃者が匿名のセッションを生成し、認証されていないエンドポイントに対して HTTP リクエストを実行する可能性があります。(CVE-2023-41266)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Windows 主机上安装的 Qlik Sense Enterprise 版本低于 2022 年 8 月的补丁 14、2022 年 11 月的补丁 11、2023 年 2 月的补丁 8 或 2023 年 5 月的补丁 4。因此，它受到多个漏洞的影响。

 - 由于 HTTP 标头验证不当而导致的 HTTP 传输漏洞。远程攻击者能够通过传输 HTTP 请求来提升权限，从而允许他们在托管存储库应用程序的后端服务器上执行 HTTP 请求。(CVE-2023-41265)

 - 由于未正确验证用户提供的输入导致的路径遍历漏洞。未经身份验证的远程攻击者可以生成匿名会话，从而允许他们向未经授权的端点执行 HTTP 请求。(CVE-2023-41266)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Windows 主機上安裝的 Qlik Sense Enterprise 版本為 2022 年 8 月修補程式 14 之前的版本、修補程式 11 之前的 2022 年 11 月版、修補程式 8 之前的 2023 年 2 月版，或修補程式 4 之前的 2023 年 5 月版。因此，會受到多個弱點影響。

 - 因不當驗證 HTTP 標頭所導致的 HTTP 通道弱點。遠端攻擊者可打開 HTTP 通道要求以提升其權限，進而允許他們在主控存放庫應用程式的後端伺服器上執行 HTTP 要求。(CVE-2023-41265)

 - 存在一個路徑遊走弱點，這是因為不當驗證使用者提供的輸入所致。未經驗證的遠端攻擊者可產生匿名工作階段，這可讓他們對未經授權的端點執行 HTTP 要求。(CVE-2023-41266)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
114369	Qlik Sense Enterprise のパストラバーサル	Web App Scanning	Component Vulnerability	2024/7/18	2024/7/18	critical
114369	Qlik Sense Enterprise Path Traversal	Web App Scanning	Component Vulnerability	2024/7/18	2024/7/18	critical
114369	Qlik Sense Enterprise 路徑遊走弱點	Web App Scanning	Component Vulnerability	2024/7/18	2024/7/18	critical
114369	Qlik Sense Enterprise 路径遍历	Web App Scanning	Component Vulnerability	2024/7/18	2024/7/18	critical
186699	Qlik Sense Enterprise Multiple Vulnerabilities	Nessus	Windows	2023/12/8	2024/1/23	critical
186699	Qlik Sense Enterprise の複数の脆弱性	Nessus	Windows	2023/12/8	2024/1/23	critical
186699	Qlik Sense Enterprise 多个漏洞	Nessus	Windows	2023/12/8	2024/1/23	critical
186699	Qlik Sense Enterprise 多個弱點	Nessus	Windows	2023/12/8	2024/1/23	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical