PT-2021-21564 · Digi · Digi Transport Gateway

Publicado 2021-12-10 · Atualizado 2021-12-14 · CVE-2021-37189

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Dispositivos Digi TransPort Gateway até a versão 5.2.13.4

Descrição

Foi identificada uma falha pela qual os dispositivos não definem o atributo “Secure” para cookies confidenciais em sessões HTTPS. Isso pode fazer com que o agente do usuário envie esses cookies em texto simples durante uma sessão HTTP.

Recomendações

Para dispositivos Digi TransPort Gateway até a versão 5.2.13.4, considere atualizar para uma versão que defina o atributo Secure para cookies confidenciais em sessões HTTPS, a fim de impedir que sejam enviados em texto simples por HTTP.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Encryption of Sensitive Data

Enumeração de Fraquezas

CWE-311

Identificadores relacionados

CVE-2021-37189

Produtos afetados

Digi Transport Gateway

Referências · 6

• https://t.me/cibsecurity/33735 · Publicação no Telegram
• https://raw.githubusercontent.com/reidmefirst/vuln-disclosure/main/2021-04.txt · Nota
• https://digi.com/search/results?q=transport · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-37189 · Aviso do Fabricante
• https://t.me/cvenotify/24517 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-37189 · Nota de Segurança