PT-2024-7167 · Rocket.Chat · Rocket.Chat Mobile

H0011 · Publicado 2024-10-07 · Atualizado 2024-10-07 · CVE-2024-42027

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.7

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:P

Nome do software vulnerável e versões afetadas

Versões do Rocket.Chat Mobile anteriores à 4.5.1

Descrição

O problema está relacionado ao uso de credenciais fracas no componente E2EE Password Handler do Rocket.Chat Mobile. Isso pode permitir que um invasor remoto obtenha privilégios elevados ao acessar o perfil de um usuário. A entropia da senha E2EE gerada pelo Rocket. Chat Mobile é insuficiente, possibilitando que invasores a quebrem com tempo e recursos suficientes.

Recomendações

Para versões anteriores à 4.5.1, atualize para a versão 4.5.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a perfis de usuários confidenciais até que a atualização seja aplicada. Evite usar senhas fracas e certifique-se de que todos os usuários tenham senhas fortes e exclusivas para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-1391

Identificadores relacionados

BDU:2024-08504

CVE-2024-42027

Produtos afetados

Rocket.Chat Mobile

Referências · 9

• https://bdu.fstec.ru/vul/2024-08504 · Nota de Segurança
• https://vuldb.com/?id.279477 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-42027 · Nota de Segurança
• https://vulners.com/cve/CVE-2024-42027 · Nota
• https://security-database.com/detail.php?alert=CVE-2024-42027 · Nota
• https://t.me/cvedetector/7215 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1843316574314234295 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1843276093987455325 · Publicação no Twitter
• https://hackerone.com/reports/2546437 · Nota