CVE-2018-17298

Enalean Tuleap: linki reset hasła nie są unieważniane po zmianie hasła

CVSS 9.8v3.0pub. 2018-09-21upd. 2024-11-21

W Enalean Tuleap przed wersją 10.5 linki do resetowania hasła pozostają aktywne nawet po tym, jak użytkownik zmieni swoje hasło. Stanowi to poważne zagrożenie, ponieważ atakujący posiadający stary link resetujący może przejąć konto użytkownika.

▸ Pokaż oryginał (EN)

An issue was discovered in Enalean Tuleap before 10.5. Reset password links are not invalidated after a user changes its password.

🤖 Analiza AI

Jak działa

Podatność (CWE-640 — Weak Password Recovery Mechanism for Forgotten Password) polega na braku mechanizmu unieważniania tokenów resetowania hasła po pomyślnej zmianie hasła przez użytkownika. Jeśli atakujący wejdzie w posiadanie wcześniej wygenerowanego linku resetującego (np. poprzez przechwycenie wiadomości e-mail, dostęp do logów lub historii przeglądarki), może go wykorzystać do ustawienia nowego hasła na koncie, niezależnie od tego, że właściciel konta już je zmienił.

Skutki

Atakujący może przejąć pełną kontrolę nad kontem użytkownika, ustawiając nowe hasło za pomocą nieważnego z założenia linku resetującego, co prowadzi do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować Enalean Tuleap do wersji 10.5 lub nowszej. Producent udostępnił poprawki w commitach wskazanych w referencjach (4050b0aafd18346d9a6a06967bfb1170824dab17 oraz b87d3b807f39c00371ebaa50f938cb0110113538).