PT-2022-23852 · Inoda · Inoda Ontrack

J-Gainsec · Publicado 2022-09-08 · Atualizado 2023-08-08 · CVE-2022-37164

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Inoda OnTrack versão 3.4

Descrição

O problema está relacionado a uma política de senhas fraca, permitindo um possível acesso não autorizado por meio de ataques de força bruta. As senhas dos usuários são hashadas sem salt ou pepper, facilitando que ferramentas como o hashcat quebrem os hashes.

Recomendações

Para o Inoda OnTrack versão 3.4, considere implementar uma política de senhas mais forte e hashar as senhas com salt ou pepper para impedir que sejam facilmente quebradas por ferramentas como o hashcat. Como solução temporária, restrinja o acesso a áreas confidenciais do aplicativo para minimizar o risco de exploração.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-916

CWE-287

Identificadores relacionados

CVE-2022-37164

Produtos afetados

Inoda Ontrack

Referências · 9

• https://github.com/inoda/ontrack/issues/78 · Nota
• https://t.me/cibsecurity/49465 · Publicação no Telegram
• https://cwe.mitre.org/data/definitions/521.html · Nota
• https://cwe.mitre.org/data/definitions/916.html · Nota
• https://osv.dev/vulnerability/CVE-2022-37164 · Aviso do Fabricante
• https://gainsec.com/2022/08/07/cve-2022-hardcoded-creds-weak-password-hauk-android-location-sharing · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-37164 · Nota de Segurança
• https://t.me/cvenotify/36147 · Publicação no Telegram
• https://t.me/cvenotify/35880 · Publicação no Telegram