PT-2022-27204 · Snipe-It · Snipe-It

Charalampos Maraziaris · Publicado 2022-12-25 · Atualizado 2022-12-30 · CVE-2022-44381

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Snipe-IT versões 6.0.14 e anteriores

Descrição

A vulnerabilidade permite que invasores determinem se uma conta de usuário existe, devido a variações nas respostas a uma solicitação “/password/reset”. Isso pode ser explorado através da análise das diferentes respostas recebidas do sistema.

Recomendações

Para as versões 6.0.14 e anteriores do Snipe-IT, como solução temporária, considere restringir o acesso ao endpoint “/password/reset” até que uma correção esteja disponível. Além disso, monitore de perto a atividade das contas de usuário para detectar quaisquer tentativas potenciais de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2022-44381

GHSA-QQV9-GQH5-7H99

Produtos afetados

Snipe-It

Referências · 7

• 🔥 https://census-labs.com/news/2022/12/23/multiple-vulnerabilities-in-snipe-it · Exploit
• https://github.com/snipe/snipe-it · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-44381 · Nota de Segurança
• https://t.me/cibsecurity/55296 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-44381 · Aviso do Fabricante
• https://t.me/cvenotify/40637 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-qqv9-gqh5-7h99 · Aviso do Fabricante