CVE-2020-8434
Təsvir
Jenzabar JICS (həmçinin Internet Campus Solution kimi tanınır) versiya 9.0.1 Patch 3-dən əvvəlki, 9.1 versiyasının 9.1.2 Patch 2-dən əvvəlki və 9.2 versiyasının 9.2.2 Patch 8-dən əvvəlki versiyalarında sessiya kukiləri istifadəçi adının deterministik funksiyasıdır. İstifadəçi adını şifrələmək və davamlı sessiya autentifikasiyası üçün onu müştəri tərəfli kuki şəklində base64 formatına salmaq məqsədilə AES-ə ötürülən PBKDF-i təmin edən sabit kodlaşdırılmış (hard-coded) parol mövcuddur. Açarı və alqoritmi bilərək hücumçu hər hansı bir istifadəçi adını seçə, onu şifrələyə, base64 formatına sala və düzgün JICSLoginCookie kuki formatında brauzerində yadda saxlaya bilər ki, bu da onun autentifikasiya olmadan (və ya tətbiq edilibsə, MFA ilə təsdiqləmədən) JICS verilənlər bazasındakı hər hansı real istifadəçini təqlid etməsinə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jenzabar internet_campus_solution | v ≤ 9.0.1, 9.1.0 ≤ v ≤ 9.1.2, 9.2.0 ≤ v ≤ 9.2.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.