CVE-2022-1775

Słabe wymagania dotyczące haseł w Trudesk (brak wymuszania złożoności)

CVSS 9.8v3.1pub. 2022-05-20upd. 2024-11-21

Aplikacja Trudesk w wersjach przed 1.2.2 nie wymuszała odpowiedniej złożoności haseł użytkowników, co klasyfikowane jest jako CWE-521 (Weak Password Requirements). Podatność posiada ocenę CVSS 9.8 (CRITICAL), ponieważ umożliwia zdalne przejęcie kont bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Weak Password Requirements in GitHub repository polonel/trudesk prior to 1.2.2.

🤖 Analiza AI

Jak działa

System nie narzucał minimalnych wymagań co do siły hasła, pozwalając użytkownikom ustawiać hasła trywialne lub bardzo krótkie. Atakujący zdalnie, bez żadnych uprawnień, może przeprowadzić atak siłowy (brute-force) lub słownikowy na konta użytkowników aplikacji. Brak wymuszania złożoności haseł drastycznie skraca czas potrzebny do skutecznego odgadnięcia hasła.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do kont użytkowników systemu Trudesk, co prowadzi do naruszenia poufności, integralności oraz dostępności danych obsługiwanych przez aplikację. W przypadku przejęcia konta administratora możliwe jest pełne przejęcie kontroli nad systemem.

Mitygacja

Należy zaktualizować Trudesk do wersji 1.2.2 lub nowszej, w której wprowadzono wymuszanie odpowiedniej złożoności haseł (commit 13dd6c61fc85fa773b4065f075fceda563129c53). Dodatkowo zaleca się wymuszenie zmiany haseł przez wszystkich użytkowników po aktualizacji.

Kogo dotyczy

Trudesk (projektu polonel/trudesk na GitHub) w wersjach przed 1.2.2.

Uwagi

Podatność zgłoszona za pośrednictwem platformy huntr.dev (bounty: 0966043c-602f-463e-a6e5-9a1745f4fbfa). Pomimo wysokiego wyniku CVSS 9.8 podatność nie figuruje na liście CISA KEV.