PT-2021-24166 · Dalmark Systems · Systeam

Publicado 2021-12-21 · Atualizado 2021-12-27 · CVE-2021-44875

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Dalmark Systems Systeam versão 2.22.8 build 1724

Descrição:

O aplicativo Systeam, um sistema ERP que utiliza uma arquitetura mista baseada em gerenciamento de locatários e usuários SaaS, além de bancos de dados locais e aplicativos web correspondentes, está afetado por uma vulnerabilidade de enumeração de usuários. Isso ocorre durante o procedimento de recuperação de senha de um determinado usuário, onde uma diferença nas mensagens poderia permitir que um invasor determinasse se o usuário em questão é válido ou não, possibilitando um ataque de força bruta com usuários válidos.

Recomendações:

Para a versão 2.22.8 build 1724, como solução temporária, considere modificar o procedimento de recuperação de senha para retornar mensagens uniformes para todos os usuários, independentemente de sua validade, até que um patch esteja disponível. Restrinja o acesso ao recurso de recuperação de senha para minimizar o risco de exploração.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2021-44875

Produtos afetados

Systeam

Referências · 4

• https://osv.dev/vulnerability/CVE-2021-44875 · Aviso do Fabricante
• https://t.me/cibsecurity/34450 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-44875 · Nota de Segurança
• https://systeam.com.br/cve/userenum-2-en.txt · Aviso do Fabricante