CVE-2023-2882

CBOT Chatbot – generowanie nieprawidłowych tokenów bezpieczeństwa umożliwia przejęcie uprawnień

CVSS 9.8v3.1pub. 2023-05-25upd. 2024-11-21

Podatność w produkcie CBOT Chatbot polega na nieprawidłowym generowaniu tokenów bezpieczeństwa, co umożliwia atakującemu podszywanie się pod inne tokeny i nadużywanie uprawnień. Wysoki wynik CVSS 9.8 oraz brak wymagań co do uwierzytelnienia czynią tę lukę szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Generation of Incorrect Security Tokens vulnerability in CBOT Chatbot allows Token Impersonation, Privilege Abuse.This issue affects Chatbot: before Core: v4.0.3.4 Panel: v4.0.3.7.

🤖 Analiza AI

Jak działa

Komponent odpowiedzialny za generowanie tokenów bezpieczeństwa w CBOT Chatbot produkuje tokeny w sposób nieprawidłowy, umożliwiający ich fałszowanie (Token Impersonation). Atakujący zdalny, bez jakiegokolwiek uwierzytelnienia, może wygenerować lub przejąć token uprawniający do działań zarezerwowanych dla innych użytkowników lub administratorów. Skutkuje to możliwością nadużycia przyznanych uprawnień (Privilege Abuse) bez konieczności wcześniejszego posiadania dostępu do systemu.

Skutki

Atakujący może przejąć tożsamość innych użytkowników lub uzyskać podwyższone uprawnienia w systemie, co prowadzi do pełnego naruszenia poufności, integralności i dostępności danych przetwarzanych przez aplikację.

Mitygacja

Należy zaktualizować CBOT Chatbot Core do wersji v4.0.3.4 lub nowszej oraz CBOT Chatbot Panel do wersji v4.0.3.7 lub nowszej. Szczegółowe informacje dostępne są w referencjach producenta oraz komunikacie USOM (TR-23-0293).

Kogo dotyczy

CBOT Chatbot Core w wersjach przed v4.0.3.4 oraz CBOT Chatbot Panel w wersjach przed v4.0.3.7

Uwagi

Podatność została zgłoszona przez tureckie centrum reagowania na incydenty USOM (komunikat TR-23-0293). CWE-1270 odnosi się do generowania nieprawidłowych tokenów bezpieczeństwa.