PT-2022-10466 · Hitachi Energy · Txpert Hub Coretec 4
CVE-2021-35530
·
Publicado
2022-06-07
·
Atualizado
2023-06-26
CVSS v2.0
7.2
Alta
| Vetor | AV:L/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Hitachi Energy TXpert Hub CoreTec 4, versões 2.0.0 a 2.2.1
Descrição
Uma vulnerabilidade no mecanismo de autenticação e autorização do aplicativo no Hitachi Energy TXpert Hub CoreTec 4, que depende da validação do token do identificador de sessão, permite que uma mensagem modificada não autorizada seja executada no servidor, possibilitando que um agente não autorizado altere a senha de um usuário existente e, posteriormente, obtenha acesso autorizado ao sistema por meio do mecanismo de login.
Recomendações
Para as versões 2.0.0 a 2.2.1, considere desativar a validação do token do identificador de sessão até que um patch esteja disponível.
Restrinja o acesso ao mecanismo de login para minimizar o risco de exploração.
Evite usar o mecanismo de login com senhas de usuários existentes até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Authentication Bypass Using an Alternate Path or Channel
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Txpert Hub Coretec 4