CVE-2024-54454

Nome do software vulnerável e versões afetadas:

Versões do Kurmi Provisioning Suite anteriores à 7.9.0.35

Versões do Kurmi Provisioning Suite da 7.10.x à 7.10.0.18

Versões do Kurmi Provisioning Suite da 7.11.x à 7.11.0.15

Descrição:

Foi descoberta uma falha na ação sendPasswordReinitLink da página unlogged.do, permitindo que invasores remotos testem se um username é válido ou não. Isso possibilita a confirmação de nomes de usuário válidos devido a uma vulnerabilidade de discrepância de resposta observável.

Recomendações:

Para versões anteriores à 7.9.0.35, atualize para a versão 7.9.0.35 ou posterior.

Para as versões 7.10.x até 7.10.0.18, atualize para uma versão posterior à 7.10.0.18.

Para as versões 7.11.x até 7.11.0.15, atualize para uma versão posterior à 7.11.0.15.

Como solução alternativa temporária, considere restringir o acesso à ação sendPasswordReinitLink na página unlogged.do para minimizar o risco de exploração.