CVE-2016-4028
Təsvir
Open-Xchange OX Guard-ın 2.4.0-rev8 versiyasından əvvəlki versiyalarında bir problem aşkar edilmişdir. OX Guard qonaq istifadəçilərin etibarlılıq məlumatlarını müəyyən etmək və ötürmək üçün autentifikasiya tokenindən istifadə edir. Təqdim edilən token şifrələmə dolğusu (padding) ilə uyğun gəlib-gəlməməsindən asılı olaraq fərqli xəta kodları qaytarmaqla, OX Guard API padding oracle kimi çıxış edir. AES-CBC ilə birlikdə bu, hücumçulara düzgün dolğunu təxmin etməyə imkan verir. Hücumçular qonaq autentifikasiya tokeninin məzmunu üzərində brute-force hücumları həyata keçirə və istifadəçi etibarlılıq məlumatlarını əldə edə bilərlər. Praktiki hücum vektoru üçün qonaq istifadəçilərin sistemə daxil olmuş olması, həmçinin qonaq istifadəçinin "OxReaderID" kukisinin məzmununun və "auth" parametrinin dəyərinin hücumçuya məlum olması lazımdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| open-xchange ox_guard | v ≤ 2.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.