PT-2022-26364 · Tribal Systems · Zenario Cms

Ngo Van Tu · Publicado 2022-11-30 · Atualizado 2022-12-06 · CVE-2022-4231

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Tribal Systems Zenario CMS versão 9.3.57595

Descrição

A vulnerabilidade afeta o componente Remember Me Handler, levando à fixação de sessão. Ela pode ser explorada remotamente, e a exploração já foi divulgada. O ataque pode ser iniciado por um invasor que configure uma sessão-armadilha no dispositivo em que a vítima provavelmente fará login, aproveitando-se do fato de que o identificador da sessão do usuário não é alterado após o logout e o novo login quando a opção “Lembrar-me” está ativa.

Recomendações

Para a versão 9.3.57595, considere desativar a opção “Lembrar-me” como uma solução temporária para minimizar o risco de fixação de sessão até que um patch esteja disponível. Restrinja o acesso ao componente Remember Me Handler para evitar possíveis explorações.

Exploit

Correção

Session Fixation

Enumeração de Fraquezas

CWE-384

Identificadores relacionados

CVE-2022-4231

GHSA-6657-9743-4MC6

Produtos afetados

Zenario Cms

Referências · 8

• 🔥 https://github.com/lithonn/bug-report/tree/main/vendors/tribalsystems/zenario/session-fixation · Exploit
• https://github.com/TribalSystems/Zenario · Nota
• https://vuldb.com/?id.214589 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-4231 · Nota de Segurança
• https://t.me/cibsecurity/53709 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-4231 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6657-9743-4mc6 · Aviso do Fabricante
• https://t.me/cvenotify/38779 · Publicação no Telegram