BDU:2022-04654

Опубликовано: 25 июл. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость кроссплатформенного решения для управления мобильными устройствами FileWave связана с использованием жестко закодированного криптографического ключа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к защищаемой информации

Вендор

FileWave GmbH

Наименование ПО

FileWave MDM

Версия ПО

до 14.6.3 (FileWave MDM)

до 14.7.2 (FileWave MDM)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- сторонними средствами СЗИ ограничить доступ недоверенных пользователей к устройству FileWave;

- использование технологий белых/черных списков для ограничения доступа недоверенных подключений

к платформе.

Использование рекомендаций:

https://claroty.com/2022/07/25/blog-research-with-management-comes-risk-finding-flaws-in-filewave-mdm/

https://kb.filewave.com/pages/viewpage.action?pageId=55544244

https://nvd.nist.gov/vuln/detail/CVE-2022-34906

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-34906
CVE

EPSS

Процентиль: 50%

0.00272

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-34906

CVSS3: 7.5

nvd

больше 3 лет назад

A hard-coded cryptographic key is used in FileWave before 14.6.3 and 14.7.x before 14.7.2. Exploitation could allow an unauthenticated actor to decrypt sensitive information saved in FileWave, and even send crafted requests.

GHSA-w7p9-32gv-g2j3