PT-2021-17667 · Mautic · Mautic
Michaellrowley
+2
·
Publicado
2021-08-30
·
Atualizado
2021-09-03
·
CVE-2021-27913
CVSS v3.1
3.5
Baixa
| Vetor | AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L |
**Nome do software vulnerável e versões afetadas:
Versões do Mautic anteriores à 3.3.4
Versões do Mautic anteriores à 4.0.0
Descrição:
A função
mt rand é usada para gerar tokens de sessão, mas apresenta uma falha criptográfica devido à sua natureza pseudoaleatória. Um invasor pode explorar essa falha para enumerar tokens de sessão de contas que não estão sob seu controle. Isso poderia permitir que um invasor assumisse o controle de contas aleatoriamente, enumerando e utilizando tokens de acesso.Recomendações:
Para versões do Mautic anteriores à 3.3.4, atualize para a versão 3.3.4 ou posterior.
Para versões do Mautic anteriores à 4.0.0, atualize para a versão 4.0.0 ou posterior.
Como solução temporária, considere desativar o uso de
mt rand para gerar tokens de sessão até que um patch esteja disponível. Restrinja o acesso a áreas sensíveis do aplicativo para minimizar o risco de exploração. Evite usar a função mt rand para operações críticas de segurança até que o problema seja resolvido.Exploit
Correção
Use of a Broken Cryptographic Algorithm
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Mautic