CVE-2021-44523

Nieautoryzowany dostęp do bazy activity feed w Siemens SiPass/Siveillance

CVSS 9.1v3.1pub. 2021-12-14upd. 2024-11-21

Podatność w produktach Siemens SiPass integrated oraz Siveillance Identity umożliwia nieuwierzytelnionemu atakującemu zdalny dostęp do wewnętrznej bazy danych activity feed. Zagrożenie jest krytyczne, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A vulnerability has been identified in SiPass integrated V2.76 (All versions), SiPass integrated V2.80 (All versions), SiPass integrated V2.85 (All versions), Siveillance Identity V1.5 (All versions), Siveillance Identity V1.6 (All versions < V1.6.284.0). Affected applications insufficiently limit the access to the internal activity feed database. This could allow an unauthenticated remote attacker to read, modify or delete activity feed entries.

🤖 Analiza AI

Jak działa

Aplikacje objęte podatnością nie narzucają wystarczających ograniczeń dostępu do wewnętrznej bazy danych activity feed. Atakujący zdalnie, bez posiadania jakichkolwiek poświadczeń, może uzyskać dostęp do tego zasobu poprzez sieć. Brak kontroli dostępu (CWE-668) oznacza, że interfejs bazy jest dostępny bez mechanizmów autoryzacji.

Skutki

Nieautoryzowany atakujący może odczytywać, modyfikować lub usuwać wpisy w bazie danych activity feed, co może prowadzić do naruszenia poufności danych oraz ich integralności, a także do zatarcia śladów aktywności w systemie.

Mitygacja

Należy zaktualizować Siveillance Identity V1.6 do wersji V1.6.284.0 lub nowszej. Dla pozostałych wersji SiPass integrated oraz Siveillance Identity V1.5 należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Siemens ProductCERT (SSA-160202, SSA-463116).

Kogo dotyczy

Siemens SiPass integrated V2.76 (wszystkie wersje), SiPass integrated V2.80 (wszystkie wersje), SiPass integrated V2.85 (wszystkie wersje), Siveillance Identity V1.5 (wszystkie wersje), Siveillance Identity V1.6 (wszystkie wersje poniżej V1.6.284.0)