CVE-2024-6188

O TrackSYS da Parsec expõe um endpoint de page-definition que pode ser requisitado diretamente, sem passar pelos controles de acesso que deveriam protegê-lo, permitindo que um chamador não autenticado extraia informações via forced browsing. É um problema apenas de confidencialidade de severidade modesta: a falha é que um recurso que se presume protegido está de fato alcançável apenas pedindo por ele diretamente.

Divulgação por forced browsing como esta é de baixo drama, mas não é nada; é material de reconhecimento e vazamento de dados, e não uma tomada de controle. O exploit público e um fornecedor não responsivo significam que não será silenciosamente corrigido a montante, então a exposição persiste, mas o retorno para um atacante se limita a ler o que o endpoint revela, em vez de ganhar controle.

Classificamos isto como uma preocupação moderada orientada por exposição. O TrackSYS é software de execução de manufatura que frequentemente vive em redes internas, então a verificação-chave é se alguma instância é alcançável a partir de segmentos não confiáveis onde este vazamento de requisição direta poderia ser abusado. Dado o silêncio do fornecedor, nossos controles realistas são segmentação de rede e, se necessário, uma regra de proxy impondo autenticação nesse endpoint, em vez de esperar por um patch que pode não vir.