PT-2020-20462 · American Dynamics+1 · American Dynamics Victor Web Client+1

Publicado 2020-11-19 · Atualizado 2020-12-04 · CVE-2020-9049

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

American Dynamics Victor Web Client (versões afetadas não especificadas)

Software House C•CURE Web Client (versões afetadas não especificadas)

Descrição

Uma vulnerabilidade poderia permitir que um invasor não autenticado na rede criasse e assinasse seu próprio JSON Web Token e o utilizasse para executar um método de API HTTP sem a necessidade de autenticação/autorização válida. Em determinadas circunstâncias, isso poderia ser usado por um invasor para afetar a disponibilidade do sistema, realizando um ataque de negação de serviço.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Authentication

Improper Authorization

Enumeração de Fraquezas

CWE-287

CWE-285

Identificadores relacionados

CVE-2020-9049

Produtos afetados

American Dynamics Victor Web Client

C•Cure Web Client

Referências · 7

• https://johnsoncontrols.com/cyber-solutions/security-advisories · Aviso do Fabricante
• https://t.me/cvenotify/6589 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-9049 · Aviso do Fabricante
• https://t.me/cibsecurity/16592 · Publicação no Telegram
• https://us-cert.cisa.gov/ics/advisories/icsa-20-324-01 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2020-9049 · Nota de Segurança
• https://t.me/cvenotify/5817 · Publicação no Telegram