PT-2024-18407 · Devolutions · Devolutions Server
Publicado
2024-03-05
·
Atualizado
2025-03-28
·
CVE-2024-1900
CVSS v3.1
5.5
Média
| Vetor | AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L |
Nome do software vulnerável e versões afetadas
Devolutions Server versões 2023.3.14.0 e anteriores
Descrição
O problema está relacionado ao gerenciamento inadequado de sessões no fluxo de autenticação do provedor de identidade. Isso permite que um usuário autenticado, por meio de um provedor de identidade como o Okta ou o Microsoft O365, permaneça autenticado mesmo após sua conta de usuário ter sido desativada ou excluída no provedor de identidade. O usuário permanecerá autenticado até que o token do Devolutions Server expire.
Recomendações
Para as versões 2023.3.14.0 e anteriores do Devolutions Server, atualize para uma versão que inclua uma correção para o problema de gerenciamento inadequado de sessões, a fim de impedir que usuários autenticados permaneçam conectados após a desativação ou exclusão de suas contas no provedor de identidade.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Devolutions Server