Qlik Sense HTTP Tunneling Vulnerability

CheckOps-Prioritätsindex

7,7/10 Binnen 7 Tagen patchen

Schweregrad9,6

Wahrscheinlichkeit4,8

Ausnutzung4/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 47,7 % höher als 98,9 % aller CVE

CVSS 3.1 9,6 AC:L/AV:N/A:N/C:H/I:H/PR:L/S:C

Ausgenutzt seit 659 Tagen 13.01.2025

CISA-Frist 03.02.2025 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 4 / 5

KEV-Katalog (CISA)13.01.2025
In der EUVD ausgenutzt (ENISA)13.01.2025
Von Ransomware genutztja
EPSS über 10 %47,7 %
Ohne Konto, über das Netznein

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

Qlik Sense Enterprise for Windows before August 2023 Patch 2 allows unauthenticated remote code execution, aka QB-21683. Due to improper validation of HTTP headers, a remote attacker is able to elevate their privilege by tunneling HTTP requests, allowing them to execute HTTP requests on the backend server that hosts the repository application. The fixed versions are August 2023 Patch 2, May 2023 Patch 6, February 2023 Patch 10, November 2022 Patch 12, August 2022 Patch 14, May 2022 Patch 16, February 2022 Patch 15, and November 2021 Patch 17. NOTE: this issue exists because of an incomplete fix for CVE-2023-41265.

Text der Quelle, auf Englisch.

Betroffene Produkte

Sense

Schwächen (CWE)

CWE-444

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

15.11.2023
Veröffentlichung
13.01.2025
Ausnutzung gemeldet (ENISA)
13.01.2025
Aufnahme in den KEV-Katalog
03.02.2025
CISA-Frist zur Behebung
25.10.2026
EPSS-Höchstwert: 47,7 %

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2023-41266Qlik Sense Path Traversal Vulnerability
8,8 · Dauerhaft ausgenutzt
CVE-2023-41265Qlik Sense HTTP Tunneling Vulnerability
8,9 · Dauerhaft ausgenutzt