PT-2021-24167 · Dalmark Systems · Systeam

Publicado 2021-12-21 · Atualizado 2021-12-27 · CVE-2021-44876

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Dalmark Systems Systeam versão 2.22.8 build 1724

Descrição:

O aplicativo Systeam, um sistema ERP que utiliza uma arquitetura mista de gerenciamento de locatários e usuários SaaS, juntamente com bancos de dados locais e aplicativos web correspondentes, está afetado por uma falha de enumeração de usuários. Isso ocorre durante a identificação do locatário correto para um determinado usuário, onde diferenças nas mensagens podem permitir que um invasor determine se um determinado usuário é válido ou não, possibilitando assim um ataque de força bruta com usuários válidos.

Recomendações:

Para a versão 2.22.8 build 1724, como solução alternativa temporária, considere implementar mecanismos adicionais de validação e tratamento de erros para minimizar a diferença nas mensagens retornadas durante o processo de identificação do locatário, reduzindo assim o risco de enumeração de usuários. Restrinja o acesso à funcionalidade de identificação de usuários para minimizar o risco de exploração.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2021-44876

Produtos afetados

Systeam

Referências · 4

• https://systeam.com.br/cve/userenum-1-en.txt · Aviso do Fabricante
• https://t.me/cibsecurity/34448 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-44876 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-44876 · Aviso do Fabricante