PT-2020-14361

CVE-2020-15324

Publicado

2020-06-29

Atualizado

2020-07-06

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Zyxel CloudCNM SecuManager, versões 3.1.0 a 3.1.1

Descrição

O problema diz respeito a um arquivo com permissão de leitura para todos que armazena credenciais codificadas. O arquivo em questão é o xmpp config.py, localizado em axess/opt/axXMPPHandler/config/. Isso representa um risco de segurança significativo, pois pode expor informações confidenciais.

Recomendações

Para as versões 3.1.0 e 3.1.1, considere restringir o acesso ao arquivo xmpp config.py para impedir a leitura não autorizada das credenciais codificadas. Como solução temporária, alterar as permissões do arquivo para limitar o acesso pode ajudar a mitigar o risco até que uma solução mais permanente esteja disponível.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Alexandre Torres

Pierre Kim

Pierrekimsec

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-798: Use of Hard-coded Credentials