PT-2022-12297 · Velneo · Velneo Vclient

CVE-2021-45035 · Publicado 2022-09-23 · Atualizado 2023-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:A/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Velneo vClient versão 28.1.3

Descrição

O problema decorre do comportamento padrão do Velneo vClient, que não verifica corretamente o certificado de autenticidade. Isso poderia permitir que um invasor com acesso à rede realizasse um ataque Man-in-the-Middle (MITM), obtendo potencialmente as credenciais do usuário.

Recomendações

Para o Velneo vClient versão 28.1.3, considere atualizar a configuração para verificar corretamente o certificado de autenticidade, a fim de prevenir ataques MITM. Como solução temporária, restrinja o acesso à rede a fontes confiáveis até que uma correção adequada seja aplicada.

Correção

Improper Authentication

Improper Certificate Validation

Enumeração de Fraquezas

CWE-287

CWE-295

Identificadores relacionados

CVE-2021-45035

Produtos afetados

Velneo Vclient

Referências · 8

• https://incibe-cert.es/en/early-warning/security-advisories/velneo-vclient-improper-authentication · Nota
• https://t.me/cibsecurity/50362 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-45035 · Aviso do Fabricante
• https://velneo.es/publicacion-de-incidencia-de-seguridad-en-cve-cve-2021-45035 · Aviso do Fabricante
• https://doc.velneo.com/v/29/velneo/notas-de-la-version#verificacion-de-certificados · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-45035 · Nota de Segurança
• https://velneo.com/blog/nueva-revision-velneo-29-2 · Aviso do Fabricante
• https://t.me/cvenotify/36843 · Publicação no Telegram