Описание
Уязвимость веб-сервиса для передачи информации через временные ссылки Password Pusher связана с неверным ограничением срока действия сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к системе с помощью старых учетных данных или идентификаторов сеанса
Вендор
Apnotic LLC
Наименование ПО
Password Pusher
Версия ПО
до 1.47.1 (Password Pusher)
до 1.48.0 (Password Pusher)
Тип ПО
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,6)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,8)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Обновление до версии 1.48.0 (https://github.com/pglombardo/PasswordPusher/releases/tag/v1.48.0) или выше
Использование рекомендаций производителя:
https://github.com/pglombardo/PasswordPusher/releases/tag/v1.47.1
Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений (WAF);
- использование «белого» списка IP-адресов для организации удалённого доступа к уязвимым продуктам;
- отключение/удаление неиспользуемых учётных записей пользователей.
- фильтрация подключений по 5001 сетевому порту;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- PT
8.6 High
CVSS3
9 Critical
CVSS2
8.6 High
CVSS3
9 Critical
CVSS2