PT-2021-23431 · 3Xlogic · 3Xlogic Infinias Access Control
Publicado
2021-10-01
·
Atualizado
2022-07-12
·
CVE-2021-41847
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
3xLogic Infinias Access Control, versões 3.x a 6.7.10708.0
Descrição
Foi descoberta uma falha que afeta a segurança física, na qual usuários com credenciais de login atribuídas a uma zona específica podem enviar solicitações HTTP GET e POST modificadas para visualizar dados de usuários, incluindo informações pessoais e credenciais de cartões Prox. Além disso, um usuário autorizado de uma zona pode enviar solicitações de API para desbloquear fechaduras eletrônicas associadas a zonas às quais não tem permissão de acesso e criar novos logins de usuário para zonas às quais não tem permissão de acesso, incluindo a zona raiz do software.
Recomendações
Para as versões 3.x a 6.7.10708.0, considere restringir o acesso a pontos de extremidade da API que permitam o desbloqueio de fechaduras eletrônicas e a criação de novos logins de usuário, e limite a capacidade de enviar solicitações HTTP modificadas apenas a zonas autorizadas. Como solução alternativa temporária, considere desativar a capacidade de criar novos logins de usuário para zonas não autorizadas até que um patch esteja disponível. Restrinja o acesso a dados confidenciais do usuário, como informações pessoais e credenciais de cartão Prox, para minimizar o risco de exploração.
Exploit
Correção
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
3Xlogic Infinias Access Control