CVE-2017-15883

Progress Sitefinity – ominięcie uwierzytelniania przez słabą kryptografię

CVSS 9.8v3.0pub. 2018-01-08upd. 2024-11-21

Podatność w Progress Sitefinity (wersje 5.1–10.x) umożliwia zdalnym atakującym ominięcie mechanizmu uwierzytelniania bez jakichkolwiek uprawnień. Skutkiem może być eskalacja uprawnień lub wywołanie odmowy usługi (DoS) na środowiskach z load balancingiem.

▸ Pokaż oryginał (EN)

Sitefinity 5.1, 5.2, 5.3, 5.4, 6.x, 7.x, 8.x, 9.x, and 10.x allow remote attackers to bypass authentication and consequently cause a denial of service on load balanced sites or gain privileges via vectors related to weak cryptography.

🤖 Analiza AI

Jak działa

Podatność wynika z zastosowania słabych mechanizmów kryptograficznych w procesie uwierzytelniania. Atakujący, działając zdalnie i bez uwierzytelnienia, może wykorzystać słabości kryptograficzne do sfałszowania lub manipulacji danymi sesji/tokenami. Pozwala to na ominięcie weryfikacji tożsamości użytkownika, a w przypadku środowisk z load balancingiem może dodatkowo prowadzić do zakłócenia działania usługi.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do aplikacji i eskalować swoje uprawnienia, co stanowi pełne naruszenie poufności, integralności i dostępności systemu. W środowiskach z load balancingiem możliwe jest również wywołanie odmowy usługi (DoS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami – szczegóły zawiera biuletyn bezpieczeństwa Progress dostępny pod adresem wskazanym w sekcji referencji (Sitefinity Security Advisory for CVE-2017-15883).

Kogo dotyczy

Progress Sitefinity w wersjach 5.1, 5.2, 5.3, 5.4, 6.x, 7.x, 8.x, 9.x oraz 10.x

Uwagi

Podatność została zgłoszona przez badaczy z firmy mnemonic.no, co wynika z referencji do ich publikacji. Podatność opublikowana 2018-01-08, mimo że identyfikator CVE nosi rok 2017.