PT-2020-16325 · Hazelcast · Ldaploginmodule+2

Publicado 2020-11-09 · Atualizado 2020-11-18 · CVE-2020-26168

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Hazelcast IMDG Enterprise, versões 4.0.0 a 4.0.2

Hazelcast Jet Enterprise, versões 4.0.0 a 4.2

Descrição

O método de autenticação LDAP no LdapLoginModule não verifica corretamente as senhas em determinados cenários de system-user-dn, permitindo que usuários sejam autenticados com senhas inválidas.

Recomendações

Para as versões 4.0.0 a 4.0.2 do Hazelcast IMDG Enterprise, atualize para a versão 4.0.3 ou posterior.

Para as versões 4.0.0 a 4.2 do Hazelcast Jet Enterprise, considere desativar o LdapLoginModule até que um patch esteja disponível.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2020-26168

Produtos afetados

Hazelcast Imdg Enterprise

Hazelcast Jet Enterprise

Ldaploginmodule

Referências · 7

• https://hazelcast.zendesk.com/hc/en-us/articles/360050161951--IMDG-Enterprise-4-0-4-0-1-4-0-2-LDAP-Authentication-Bypass · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-26168 · Aviso do Fabricante
• https://t.me/cibsecurity/16059 · Publicação no Telegram
• https://hazelcast.zendesk.com/hc/en-us/articles/360051384932--JET-Enterprise-4-0-4-1-4-1-1-4-2-LDAP-Authentication-Bypass · Aviso do Fabricante
• https://jet-start.sh/blog/2020/10/23/jet-43-is-released · Aviso do Fabricante
• https://docs.hazelcast.org/docs/ern/index.html#4-0-3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-26168 · Nota de Segurança