PT-2021-7937 · Redmine · Redmine

Felix Schäfer + 1 · Publicado 2021-08-05 · Atualizado 2024-03-06 · CVE-2021-37156

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:N

Nome do software vulnerável e versões afetadas

Versões 4.2.0 a 4.2.1 do Redmine

Descrição

O problema está relacionado à expiração incorreta da sessão no Redmine, uma aplicação web para gerenciamento de projetos e tarefas. Quando a autenticação de dois fatores está ativada para a conta de um usuário, as sessões existentes não são encerradas conforme o esperado, permitindo que continuem ativas. Isso poderia ser potencialmente explorado por um invasor remoto para continuar acessando a conta do usuário sem a autenticação adequada.

Recomendações

Para as versões 4.2.0 e 4.2.1 do Redmine, considere encerrar todas as sessões de usuário existentes imediatamente após ativar a autenticação de dois fatores para a conta do usuário como uma solução temporária.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

BDU:2023-05702

BIT-REDMINE-2021-37156

CVE-2021-37156

Produtos afetados

Redmine

Referências · 10

• https://osv.dev/vulnerability/CVE-2021-37156 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-05702 · Nota de Segurança
• https://redmine.org/news/132 · Aviso do Fabricante
• https://redmine.org/projects/redmine/wiki/Security_Advisories · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-37156 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-redmine-2021-37156 · Aviso do Fabricante
• https://t.me/cibsecurity/26913 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2021-37156 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-37156 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-37156 · Aviso do Fabricante