CVE-2019-3758

RSA Archer — obejście uwierzytelnienia przez niewystarczające dane logowania

CVSS 9.8v3.1pub. 2019-09-18upd. 2024-11-21

RSA Archer w wersjach przed 6.6 P2 (6.6.0.2) zawiera podatność typu improper authentication, umożliwiającą tworzenie kont użytkowników z niewystarczającymi danymi uwierzytelniającymi. Niezalogowany atakujący może uzyskać nieautoryzowany dostęp do systemu za pomocą takich kont.

▸ Pokaż oryginał (EN)

RSA Archer, versions prior to 6.6 P2 (6.6.0.2), contain an improper authentication vulnerability. The vulnerability allows sysadmins to create user accounts with insufficient credentials. Unauthenticated attackers could gain unauthorized access to the system using those accounts.

🤖 Analiza AI

Jak działa

Administratorzy systemu (sysadmins) mają możliwość tworzenia kont użytkowników z niedostatecznymi poświadczeniami (np. zbyt słabymi lub niepełnymi hasłami), co narusza wymagania bezpiecznego uwierzytelnienia. Konta takie mogą być następnie wykorzystane przez nieuwierzytelnionego atakującego do zalogowania się do systemu bez znajomości prawidłowych, silnych poświadczeń. Podatność klasyfikowana jest jako CWE-288 (Authentication Bypass Using an Alternate Path or Channel) oraz CWE-521 (Weak Password Requirements).

Skutki

Atakujący bez żadnych wcześniejszych uprawnień może uzyskać nieautoryzowany dostęp do systemu RSA Archer, co potencjalnie prowadzi do naruszenia poufności, integralności i dostępności przetwarzanych danych.

Mitygacja

Należy zaktualizować RSA Archer do wersji 6.6 P2 (6.6.0.2) lub nowszej. Szczegółowe instrukcje dostępne są w oficjalnym komunikacie producenta pod adresem: https://community.rsa.com/docs/DOC-106759