PT-2024-9680 · Lunary · Lunary

Publicado 2024-10-29 · Atualizado 2024-11-04 · CVE-2024-7475

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Lunary versão 1.3.2

Descrição

O problema está relacionado a um controle de acesso insuficiente, permitindo que um invasor remoto comprometa a confidencialidade e a integridade das informações protegidas ao atualizar a configuração SAML. Isso pode levar à manipulação dos processos de autenticação, a solicitações de login fraudulentas e ao roubo de informações do usuário.

Recomendações

Para a versão 1.3.2, implemente controles de acesso adequados para garantir que a configuração SAML só possa ser atualizada por usuários autorizados. Como solução temporária, considere restringir o acesso à funcionalidade de atualização da configuração SAML até que um patch esteja disponível.

Exploit

Correção

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

BDU:2024-11392

CVE-2024-7475

Produtos afetados

Lunary

Referências · 8

• 🔥 https://huntr.com/bounties/78c824f7-3b6d-443d-bb76-0f8031c6c126 · Exploit
• https://github.com/lunary-ai/lunary/commit/8f563c77d8614a72980113f530c7a9ec15a5f8d5 · Correção
• https://bdu.fstec.ru/vul/2024-11392 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-7475 · Nota de Segurança
• https://twitter.com/CCBalert/status/1852009091314467058 · Publicação no Twitter
• https://t.me/cvenotify/100503 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-7475 · Aviso do Fabricante
• https://t.me/cvedetector/9318 · Publicação no Telegram