CVE-2022-39214

Combodo iTop — przejęcie konta przez znajomość nazwy użytkownika

CVSS 9.6v3.1pub. 2023-03-14upd. 2024-11-21

Podatność w platformie Combodo iTop umożliwia zalogowanemu użytkownikowi przejęcie dowolnego innego konta, znając jedynie jego nazwę użytkownika. Ze względu na brak wymagań co do znajomości hasła ofiary, podatność stanowi poważne zagrożenie dla integralności systemu zarządzania usługami IT.

▸ Pokaż oryginał (EN)

Combodo iTop is an open source, web-based IT service management platform. Prior to versions 2.7.8 and 3.0.2-1, a user who can log in on iTop is able to take over any account just by knowing the account's username. This issue is fixed in versions 2.7.8 and 3.0.2-1.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej autoryzacji (CWE-863) — platforma iTop nie weryfikuje poprawnie uprawnień podczas operacji związanych z zarządzaniem kontami. Zalogowany użytkownik, posiadający jedynie wiedzę o nazwie konta docelowego, może wykonać akcję prowadzącą do przejęcia kontroli nad tym kontem bez znajomości hasła. Podatność jest możliwa do wykorzystania zdalnie przez sieć, bez konieczności interakcji ofiary i przy niskich uprawnieniach wyjściowych atakującego.

Skutki

Atakujący może przejąć kontrolę nad dowolnym kontem w systemie iTop, w tym kontami o wyższych uprawnieniach, co prowadzi do nieautoryzowanego dostępu do danych oraz pełnego naruszenia poufności i integralności zarządzanego środowiska IT.

Mitygacja

Należy zaktualizować Combodo iTop do wersji 2.7.8 lub 3.0.2-1, w których podatność została naprawiona. Poprawki dostępne są w repozytorium GitHub producenta (commity: 4c1df99 oraz bdebea6).