CVE-2021-4201

Pominięcie kontroli dostępu w ForgeRock Access Management — przejęcie sesji

CVSS 9.6v3.1pub. 2022-02-14upd. 2024-11-21

Podatność w ForgeRock Access Management 7.1.0 i wcześniejszych wersjach pozwala nieuwierzytelnionemu zdalnie atakującemu na przejęcie aktywnych sesji użytkowników, w tym potencjalnie sesji administracyjnych. Krytyczna waga zagrożenia wynika z braku jakiejkolwiek weryfikacji tożsamości wymaganej do przeprowadzenia ataku.

▸ Pokaż oryginał (EN)

Missing access control in ForgeRock Access Management 7.1.0 and earlier versions on all platforms allows remote unauthenticated attackers to hijack sessions, including potentially admin-level sessions. This issue affects: ForgeRock Access Management 7.1 versions prior to 7.1.1; 6.5 versions prior to 6.5.4; all previous versions.

🤖 Analiza AI

Jak działa

Błąd polega na braku odpowiedniej kontroli dostępu (CWE-284) oraz niewystarczającej weryfikacji tożsamości (CWE-287) w mechanizmie zarządzania sesjami ForgeRock Access Management. Nieuwierzytelniony atakujący zdalnie, bez konieczności posiadania konta, może przejąć (hijack) istniejące sesje innych użytkowników. Atak wymaga interakcji po stronie ofiary (wskazuje na to wektor CVSS: UI:R), co sugeruje możliwy scenariusz oparty na nakłonieniu użytkownika do wykonania określonej akcji. Podatność dotyczy wszystkich wspieranych platform.

Skutki

Atakujący może przejąć sesję dowolnego użytkownika, w tym administratora systemu, uzyskując tym samym pełny dostęp do zasobów i funkcji dostępnych dla przejętego konta, co może prowadzić do naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować ForgeRock Access Management do wersji 7.1.1 lub nowszej (dla gałęzi 7.1) albo do wersji 6.5.4 lub nowszej (dla gałęzi 6.5). Szczegółowe instrukcje dostępne są w bazie wiedzy producenta pod adresem wskazanym w referencjach. Jeśli natychmiastowa aktualizacja nie jest możliwa, należy ograniczyć dostęp do instancji ForgeRock AM wyłącznie do zaufanych sieci.