PT-2024-12909 · Ping Identity · Pingone Mfa Integration Kit

Publicado 2024-07-09 · Atualizado 2024-07-09 · CVE-2023-40702

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.7

Alta

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

PingOne MFA Integration Kit (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que a ação skipMFA seja configurada de forma que a autenticação do usuário não exija a autenticação de segundo fator a partir dos dispositivos registrados existentes do usuário. Um agente mal-intencionado pode explorar essa vulnerabilidade para se autenticar como o usuário alvo, caso já possua conhecimento das credenciais de primeiro fator desse usuário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2023-40702

Produtos afetados

Pingone Mfa Integration Kit

Referências · 4

• https://docs.pingidentity.com/r/en-us/pingfederate-pingone-mfa-ik/bks1657303194394 · Nota
• https://twitter.com/CVEnew/status/1810703229786751445 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-40702 · Nota de Segurança
• https://t.me/cvedetector/383 · Publicação no Telegram