PT-2020-13037 · Vpncrypt · Vpncrypt M10

Publicado 2020-08-12 · Atualizado 2021-07-21 · CVE-2020-12106

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

VPNCrypt M10 versão 2.6.5

Descrição

O problema diz respeito ao portal da Web do módulo WiFi, que permite que usuários não autenticados enviem solicitações HTTP POST para funções administrativas críticas. Isso inclui a alteração das credenciais da conta de administrador ou a conexão do produto a um ponto de acesso não autorizado.

Recomendações

Para o VPNCrypt M10 versão 2.6.5, considere restringir o acesso ao portal da Web do módulo WiFi para impedir que usuários não autenticados enviem solicitações HTTP POST para funções administrativas até que uma correção esteja disponível. Como solução alternativa temporária, limite a capacidade de alterar as credenciais da conta de administrador e impeça conexões com pontos de acesso desconhecidos.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2020-12106

Produtos afetados

Vpncrypt M10

Referências · 4

• https://stengg.com/cybersecurity · Nota
• https://stengg.com/media/1076253/vpncrypt-m10-cve-advisory-notice.pdf · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-12106 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-12106 · Aviso do Fabricante