PT-2025-11666 · Shearwater · Shearwater Securenvoy Securaccess

Publicado 2025-03-19 · Atualizado 2025-03-24 · CVE-2025-30236

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Shearwater SecurEnvoy SecurAccess anteriores à 9.4.515

Descrição A falha permite autenticação apenas por meio de um código TOTP de seis dígitos, ignorando a verificação de senha, se uma requisição HTTP POST contiver um parâmetro SESSION. Isso está relacionado ao controle externo de parâmetros web presumidos como imutáveis.

Recomendações Para versões anteriores à 9.4.515, atualize para a versão 9.4.515 ou posterior para resolver o problema. Como medida de contorno, considere restringir o acesso ao endpoint de autenticação para minimizar o risco de exploração. Evite utilizar o parâmetro SESSION em requisições HTTP POST até que o problema seja resolvido.

Correção

Enumeração de Fraquezas

CWE-472

Identificadores relacionados

CVE-2025-30236

Produtos afetados

Shearwater Securenvoy Securaccess

Referências · 11

• https://t.me/cvedetector/20617 · Publicação no Telegram
• https://t.me/latest_high_impact_cve/1998 · Publicação no Telegram
• https://reserge.org/probabilistically-breaking-securenvoy-totp · Nota
• https://twitter.com/cracbot/status/1904126126668333063 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1902250655924023422 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1902246652158890176 · Publicação no Twitter
• https://t.me/cvenotify/115300 · Publicação no Telegram
• https://securenvoy.com/wp-content/uploads/2025/03/Release-Notes-9.4.515.pdf · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-30236 · Nota de Segurança
• https://t.me/cvenotify/115301 · Publicação no Telegram
• https://t.me/cvetracker/19425 · Publicação no Telegram