PT-2020-13528 · Aviatrix · Aviatrix Controller

Publicado 2020-05-22 · Atualizado 2020-05-26 · CVE-2020-13416

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Aviatrix Controller anteriores à 5.4.1066

Descrição

O problema permite uma vulnerabilidade do tipo Cross Site Request Forgery (CSRF), especificamente para redefinições de senha, devido ao fato de um parâmetro de token de sessão da interface web do Controller não ser exigido em uma chamada de API.

Recomendações

Para versões anteriores à 5.4.1066, atualize para a versão 5.4.1066 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API relacionado à redefinição de senha até que a atualização seja aplicada.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-13416

Produtos afetados

Aviatrix Controller

Referências · 4

• https://osv.dev/vulnerability/CVE-2020-13416 · Aviso do Fabricante
• https://docs.aviatrix.com/HowTos/security_bulletin_article.html#csrf-on-password-reset · Aviso do Fabricante
• https://t.me/cvenotify/4029 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-13416 · Nota de Segurança