PT-2022-17532 · Igel · Igel Universal Management Suite

Nick Nam · Publicado 2022-06-09 · Atualizado 2022-06-17 · CVE-2022-25806

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

IGEL Universal Management Suite (UMS) versão 6.07.100

Descrição

Foi descoberta uma vulnerabilidade no IGEL Universal Management Suite (UMS) em que uma chave DES codificada na classe PrefDBCredentials permite que um invasor descriptografe credenciais de superusuário usando uma chave DES estática de 8 bytes, caso o invasor já tenha descoberto as credenciais criptografadas.

Recomendações

Para o IGEL Universal Management Suite (UMS) versão 6.07.100, considere desativar a classe PrefDBCredentials até que um patch esteja disponível para evitar uma possível exploração. Restrinja o acesso às credenciais de superusuário para minimizar o risco de descriptografia por um invasor.

Exploit

Correção

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

Identificadores relacionados

CVE-2022-25806

Produtos afetados

Igel Universal Management Suite

Referências · 5

• 🔥 https://github.com/atredispartners/advisories/blob/master/ATREDIS-2022-0002.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-25806 · Nota de Segurança
• https://t.me/cibsecurity/44077 · Publicação no Telegram
• https://igel.com/igel-solution-family/universal-management-suite · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-25806 · Aviso do Fabricante