PT-2024-8718 · Siemens · Sinec Ins
CVE-2024-46892
·
Publicado
2024-11-12
·
Atualizado
2024-11-17
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do SINEC INS anteriores à V1.0 SP2 Update 3
Descrição
Foi identificada uma vulnerabilidade no aplicativo afetado, na qual ele não invalida corretamente as sessões quando o usuário associado é excluído, desativado ou suas permissões são modificadas. Isso poderia permitir que um invasor autenticado continuasse realizando ações maliciosas mesmo após a desativação de sua conta de usuário. O problema está relacionado ao período de validade incorreto da sessão, o que pode permitir que um invasor remoto mantenha uma sessão após a exclusão da conta de usuário.
Recomendações
Para versões anteriores à V1.0 SP2 Update 3, atualize para a V1.0 SP2 Update 3 ou posterior para resolver o problema. Como solução alternativa temporária, considere invalidar manualmente as sessões de usuários excluídos, desativados ou cujas permissões foram modificadas até que um patch seja aplicado. Restrinja o acesso a áreas confidenciais do aplicativo para minimizar o risco de exploração.
Correção
Insufficient Session Expiration
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Sinec Ins