PT-2020-10086 · Reddoxx · Reddoxx Maildepot

Micha Borrmann · Publicado 2020-09-29 · Atualizado 2020-10-13 · CVE-2019-19199

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

REDDOXX MailDepot versão 2032 SP2 2.2.1242

Descrição

O problema está relacionado à expiração insuficiente da sessão, em que os tokens não são invalidados ao fazer logout. Isso pode potencialmente permitir o acesso não autorizado às sessões dos usuários.

Recomendações

Para o REDDOXX MailDepot versão 2032 SP2 2.2.1242, considere implementar um mecanismo personalizado de invalidação de sessão ao fazer logout do usuário como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a recursos confidenciais que dependem de tokens de sessão para minimizar o risco de exploração.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2019-19199

Produtos afetados

Reddoxx Maildepot

Referências · 7

• https://syss.de/pentest-blog · Nota
• https://osv.dev/vulnerability/CVE-2019-19199 · Aviso do Fabricante
• https://reddoxx.com/en/products/archiving · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-19199 · Nota de Segurança
• https://t.me/defcon_news/58119 · Publicação no Telegram
• http://seclists.org/fulldisclosure/2020/Sep/49 · Nota
• https://syss.de/fileadmin/dokumente/Publikationen/Advisories/SYSS-2019-049.txt · Nota