PT-2022-11956 · Atlassian · Crucible+1

CVE-2021-43958 · Publicado 2022-03-16 · Atualizado 2024-10-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Fisheye e do Crucible anteriores à 4.8.9

Descrição

A vulnerabilidade permite que invasores remotos realizem ataques de força bruta contra as credenciais de login dos usuários devido à restrição inadequada do número de tentativas de autenticação. Isso ocorre porque os recursos REST não verificavam se os usuários haviam excedido o limite máximo de tentativas de login malsucedidas, exigindo a resolução de um CAPTCHA além do fornecimento das credenciais de usuário para autenticação.

Recomendações

Para versões anteriores à 4.8.9, atualize para a versão 4.8.9 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos recursos REST para minimizar o risco de exploração. Além disso, considere implementar medidas para limitar tentativas excessivas de autenticação, como bloquear temporariamente os usuários após um determinado número de tentativas de login malsucedidas.

Correção

Improper Restriction of Excessive Authentication Attempts

Enumeração de Fraquezas

CWE-307

Identificadores relacionados

CVE-2021-43958

Produtos afetados

Crucible

Fisheye

Referências · 6

• https://osv.dev/vulnerability/CVE-2021-43958 · Aviso do Fabricante
• https://t.me/cvenotify/97345 · Publicação no Telegram
• https://t.me/cibsecurity/39011 · Publicação no Telegram
• https://jira.atlassian.com/browse/FE-7387 · Aviso do Fabricante
• https://jira.atlassian.com/browse/CRUC-8523 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43958 · Nota de Segurança