PT-2024-12888 · Ping Identity · Pingone Mfa Integration Kit

Publicado 2024-07-09 · Atualizado 2024-07-10 · CVE-2023-40356

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

PingOne MFA Integration Kit (versões afetadas não especificadas)

Descrição

O problema está relacionado à configuração “Solicitar aos usuários que configurem a MFA” no PingOne MFA Integration Kit. Sob certas condições, essa configuração poderia permitir que um novo dispositivo de MFA fosse emparelhado com a conta de um usuário-alvo sem exigir a autenticação de segundo fator dos dispositivos já registrados do usuário-alvo. Um agente mal-intencionado pode explorar essa vulnerabilidade para registrar seu próprio dispositivo MFA na conta de um usuário alvo, caso já tenha conhecimento das credenciais de primeiro fator desse usuário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2023-40356

Produtos afetados

Pingone Mfa Integration Kit

Referências · 5

• https://t.me/cvedetector/384 · Publicação no Telegram
• https://docs.pingidentity.com/r/en-us/pingfederate-pingone-mfa-ik/bks1657303194394 · Nota
• https://twitter.com/CveFindCom/status/1811234641673691591 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1810703228687798605 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-40356 · Nota de Segurança