PT-2021-12849 · Squaredup · Squaredup

Publicado 2021-02-03 · Atualizado 2022-02-22 · CVE-2020-9389

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.3

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do SquaredUp anteriores à 4.6.0

Descrição:

Foi detectada uma falha de enumeração de nomes de usuário na funcionalidade de login, permitindo que um usuário mal-intencionado adivinhe nomes de usuário válidos devido às diferenças nos tempos de resposta em relação a nomes de usuário inválidos.

Recomendações:

Para versões anteriores à 4.6.0, atualize para a versão 4.6.0 ou posterior para resolver o problema. Como solução temporária, considere implementar limitação de taxa ou bloqueio de IP para minimizar o risco de exploração. Restrinja o acesso à funcionalidade de login a usuários e redes confiáveis até que a atualização seja aplicada.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2020-9389

Produtos afetados

Squaredup

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2020-9389 · Nota de Segurança
• https://t.me/cibsecurity/23038 · Publicação no Telegram
• https://t.me/cvenotify/14575 · Publicação no Telegram
• https://support.squaredup.com/hc/en-us/articles/360019427238-CVE-2020-9389-Username-enumeration-possible-via-a-timing-attack · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-9389 · Aviso do Fabricante
• https://support.squaredup.com/hc/en-us/articles/360017255858 · Aviso do Fabricante