PT-2022-3195 · Siemens · Desigo Pxc3+3
Publicado
2022-05-10
·
Atualizado
2022-06-01
·
CVE-2022-24043
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Desigo DXR2 anteriores à V01.21.142.5-22
Versões do Desigo PXC3 anteriores à V01.21.142.4-18
Versões do Desigo PXC4 anteriores à V02.20.142.10-10884
Versões do Desigo PXC5 anteriores à V02.20.142.10-10884
Descrição
Foi identificada uma vulnerabilidade na funcionalidade de login do aplicativo, na qual não é possível normalizar os tempos de resposta das tentativas de login realizadas com nomes de usuário incorretos e daquelas executadas com nomes de usuário corretos. Isso permite que um invasor remoto não autenticado explore essas informações de canal lateral e execute um ataque de enumeração de nomes de usuário para identificar nomes de usuário válidos. A vulnerabilidade está relacionada à divulgação de informações por meio de inconsistências, o que pode permitir que um invasor obtenha acesso não autorizado a informações protegidas ao interceptar listas de nomes de usuário.
Recomendações
Para versões do Desigo DXR2 anteriores à V01.21.142.5-22, atualize para a versão V01.21.142.5-22 ou posterior.
Para versões do Desigo PXC3 anteriores à V01.21.142.4-18, atualize para a versão V01.21.142.4-18 ou posterior.
Para versões do Desigo PXC4 anteriores à V02.20.142.10-10884, atualize para a versão V02.20.142.10-10884 ou posterior.
Para versões do Desigo PXC5 anteriores à V02.20.142.10-10884, atualize para a versão V02.20.142.10-10884 ou posterior.
Correção
Side Channel Attack
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Desigo Dxr2
Desigo Pxc3
Desigo Pxc4
Desigo Pxc5