PT-2022-16934 · Databasir · Databasir

Luckyt0Mat0 · Publicado 2022-04-19 · Atualizado 2022-04-29 · CVE-2022-24860

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Databasir versão 1.01

Descrição

O Databasir é uma plataforma de gerenciamento de documentos baseada em um modelo de banco de dados relacional, voltada para o trabalho em equipe. A plataforma apresenta uma vulnerabilidade relacionada ao uso de chaves criptográficas codificadas de forma rígida. Um invasor pode utilizar essa codificação rígida para gerar credenciais de login de qualquer usuário e acessar o ambiente de serviço em segundo plano localizado em diferentes endereços IP.

Recomendações

Para o Databasir versão 1.01, como solução temporária, considere restringir o acesso ao back-end do serviço para minimizar o risco de exploração. Evite usar chaves criptográficas codificadas no processo de login até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-321

CWE-798

Identificadores relacionados

CVE-2022-24860

GHSA-9PRP-5JC9-JPGG

Produtos afetados

Databasir

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24860.json · Exploit
• 🔥 https://github.com/vran-dev/databasir/blob/master/core/src/main/java/com/databasir/core/infrastructure/jwt/JwtTokens.java · Exploit
• https://github.com/vran-dev/databasir/security/advisories/GHSA-9prp-5jc9-jpgg · Nota
• https://user-images.githubusercontent.com/75008428/163742566-a69c91e8-db20-4058-8967-1cfe86facc6d.png · Nota
• https://t.me/cibsecurity/41159 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24860 · Aviso do Fabricante
• https://user-images.githubusercontent.com/75008428/163742517-ecc1c787-1ef6-4df9-bdf2-407b2b31e111.png · Nota
• https://t.me/cvenotify/29187 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-24860 · Nota de Segurança
• https://user-images.githubusercontent.com/75008428/163742596-5c13153a-be8f-4ce3-9681-bc68b5f7e9c5.png · Nota