CVE-2020-15390

Błędna konfiguracja w komponencie pyActivity platformy Pega powoduje, że mechanizmy kontroli dostępu nie są prawidłowo egzekwowane dla wywołania =GetWebInfo. Nieuwierzytelniony atakujący zdalnie, bez jakiejkolwiek interakcji użytkownika, może wywołać tę funkcję i uzyskać dostęp do zasobów lub informacji, do których nie powinien mieć uprawnień. Podatność klasyfikowana jest jako CWE-269 (Improper Privilege Management), co oznacza niewłaściwe zarządzanie uprawnieniami w obrębie aplikacji.

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych informacji systemowych lub aplikacyjnych (naruszenie poufności), a potencjalnie również wpłynąć na integralność i dostępność systemu, co odzwierciedla maksymalny wynik CVSS dla tych trzech kategorii.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się weryfikację konfiguracji uprawnień komponentu pyActivity oraz ograniczenie dostępu do wrażliwych funkcji API na poziomie firewall lub warstwy sieciowej do czasu wdrożenia poprawki.

Pega Platform w wersji 8.4.0.237

Szczegółowy opis techniczny podatności wraz z dowodem koncepcji (proof of concept) jest publicznie dostępny w artykule autora odkrycia Jayarama Yalli opublikowanym na platformie Medium (link w sekcji referencji).