PT-2024-34700 · Wave · Wave

Mohit Gadiya · Publicado 2024-11-04 · Atualizado 2024-11-08 · CVE-2024-51557

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Wave 2.0

Descrição

Este problema existe devido à ausência de limitação de taxa nas solicitações de OTP em um endpoint de API. Um invasor remoto autenticado poderia explorar essa vulnerabilidade enviando múltiplas solicitações de OTP por meio do endpoint de API vulnerável, levando a um ataque de “OTP bombing” ou “flooding” no sistema visado. A vulnerabilidade está relacionada ao controle inadequado da frequência de interação.

Recomendações

Para o Wave 2.0, atualize para a versão mais recente o mais rápido possível e monitore atividades suspeitas. Como solução temporária, considere restringir o acesso ao endpoint da API vulnerável para minimizar o risco de exploração.

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-799

CWE-770

Identificadores relacionados

CVE-2024-51557

Produtos afetados

Wave

Referências · 8

• https://osv.dev/vulnerability/CVE-2024-51557 · Aviso do Fabricante
• https://cert-in.org.in/s2cMainServlet?pageid=PUBVLNOTES01&VLCODE=CIVN-2024-0332 · Nota
• https://twitter.com/VulmonFeeds/status/1853525601765695985 · Publicação no Twitter
• https://twitter.com/oktsec/status/1853431426714124543 · Publicação no Twitter
• https://t.me/cvedetector/9726 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/1449 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1853414866633007283 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-51557 · Nota de Segurança