PT-2021-11991 · Union Pay · Union Pay

Publicado 2021-04-06 · Atualizado 2021-04-09 · CVE-2020-36284

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Union Pay até 3.4.93.4.9

Descrição:

A vulnerabilidade permite que invasores façam compras gratuitamente em sites e aplicativos móveis de comerciantes por meio de um código de autenticação (MAC) criado de forma maliciosa, gerado com base em uma chave secreta que é NULL. Isso ocorre devido a uma verificação inadequada da assinatura criptográfica.

Recomendações:

Para as versões do Union Pay até 3.4.93.4.9, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2020-36284

Produtos afetados

Union Pay

Referências · 6

• http://mobitec.ie.cuhk.edu.hk/cve_2020 · Nota
• https://osv.dev/vulnerability/CVE-2020-36284 · Aviso do Fabricante
• https://dropbox.com/s/czbkdr73tclq2nr/UnionPay_Vulnerability_Report.txt?dl=0 · Nota
• https://t.me/cvenotify/12763 · Publicação no Telegram
• https://dropbox.com/s/6smwnbrp0kgsgrc/poc_code.py?dl=0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-36284 · Nota de Segurança