PT-2020-20071 · Ubiquiti · Unifi Protect+3

Publicado 2020-11-05 · Atualizado 2020-11-19 · CVE-2020-8267

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

UniFi Protect versões 1.14.10 e anteriores

Firmware do UDM-Pro versões 1.7.2 e anteriores

Firmware do UNVR versões 1.3.12 e anteriores

Descrição

Foi detectada uma falha de segurança na API do controlador UniFi Protect, na qual a autenticação utilizava o x-token de forma incorreta, permitindo que invasores enviassem mensagens autenticadas sem um token válido. Esta falha não afeta clientes do UniFi Cloud Key Gen 2 plus ou do UDM-Pro com o UniFi Protect desativado.

Recomendações

Atualize o UniFi Protect para a versão 1.14.11 ou mais recente.

Atualize o firmware do UNVR para a versão 1.3.15 ou mais recente.

Atualize o firmware do UDM-Pro para a versão 1.8.0 ou mais recente.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2020-8267

Produtos afetados

Udm-Pro

Unvr

Unifi Cloud Key Gen 2

Unifi Protect

Referências · 6

• https://t.me/cvenotify/5823 · Publicação no Telegram
• https://community.ui.com/releases/UniFi-Protect-1-14-11/928e6fac-afeb-49c2-93a5-1b3066bf2bbf · Aviso do Fabricante
• https://community.ui.com/releases/UniFi-Protect-NVR-Firmware-1-3-15/c2a783a6-c996-43d9-ab95-8c97ae05a98f · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-8267 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-8267 · Nota de Segurança
• https://community.ui.com/releases/UniFi-Dream-Machine-Firmware-1-8-0/deabc255-a081-49ba-8f51-131f3a13000a · Aviso do Fabricante