PT-2022-23851 · Unknown · Bminusl Ihatetobudget

J-Gainsec · Publicado 2022-09-08 · Atualizado 2023-08-08 · CVE-2022-37163

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Bminusl IHateToBudget versão 1.5.7

Descrição

O problema está relacionado a uma política de senhas fraca, que permite que invasores possam obter acesso não autorizado ao aplicativo por meio de ataques de força bruta. Além disso, as senhas dos usuários são hashadas sem salt ou pepper, facilitando que ferramentas como o hashcat quebrem os hashes.

Recomendações

Para o Bminusl IHateToBudget versão 1.5.7, considere implementar uma política de senhas mais forte e fazer o hash das senhas dos usuários com salt ou pepper para impedir o acesso não autorizado. Como solução temporária, restrinja o acesso a áreas confidenciais do aplicativo para minimizar o risco de exploração.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-916

CWE-287

Identificadores relacionados

CVE-2022-37163

Produtos afetados

Bminusl Ihatetobudget

Referências · 6

• https://github.com/bminusl/ihatetobudget/issues/24 · Nota
• https://osv.dev/vulnerability/CVE-2022-37163 · Aviso do Fabricante
• https://gainsec.com/2022/08/07/cve-2022-hardcoded-creds-weak-password-hauk-android-location-sharing · Nota
• https://t.me/cvenotify/35881 · Publicação no Telegram
• https://t.me/cibsecurity/49473 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-37163 · Nota de Segurança