PT-2024-28462 · Docusign · Docusign Api
Andrew Schoonmaker
·
Publicado
2024-08-21
·
Atualizado
2024-08-26
·
CVE-2024-39344
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Pacote da API Docusign versão 8.142.14 para Salesforce
Descrição
Foi detectada uma falha no pacote da API Docusign para Salesforce, na qual o objeto Apttus DocuApi DocusignAuthentication mdt armazena informações de configuração de uma forma que pode ser comprometida. Com as configurações padrão, o objeto pode ficar acessível, divulgando chaves que podem ser combinadas para criar uma sessão válida por meio da API do Docusign. Isso pode levar ao comprometimento total da conta do Docusign, já que a sessão é de uma conta de serviço de administrador e pode ter permissão para se reautenticar como usuários específicos.
Recomendações
Para a versão 8.142.14 do pacote da API do Docusign, considere restringir o acesso ao objeto Apttus DocuApi DocusignAuthentication mdt para minimizar o risco de exploração. Como solução temporária, revise e proteja as informações de configuração armazenadas por esse objeto para impedir o acesso não autorizado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Docusign Api