BDU:2025-01580

Опубликовано: 14 окт. 2024

Источник: fstec

CVSS3: 4.8

CVSS2: 4.9

EPSS Низкий

Описание

Уязвимость веб-сервиса для передачи информации через временные ссылки Password Pusher связана с неверным сроком действия сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ и раскрыть защищаемую информацию

Вендор

Apnotic LLC

Наименование ПО

Password Pusher

Версия ПО

1.45.2 (Password Pusher)

до 1.48.0 (Password Pusher)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,8)

Средний уровень опасности (оценка CVSS 4.0 составляет 5,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Обновление до версии 1.48.0 (https://github.com/pglombardo/PasswordPusher/releases/tag/v1.48.0) или выше

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF);

- использование «белого» списка IP-адресов для организации удалённого доступа к уязвимым продуктам;

- отключение/удаление неиспользуемых учётных записей пользователей.

- фильтрация подключений по 5001 сетевому порту;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 8%

0.0003

Низкий

4.8 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVE-2024-56733

CVSS3: 5.7

nvd

около 1 года назад

Password Pusher is an open source application to communicate sensitive information over the web. A vulnerability has been reported in versions 1.50.3 and prior where an attacker can copy the session cookie before a user logs out, potentially allowing session hijacking. Although the session token is replaced and invalidated upon logout, if an attacker manages to capture the session cookie before this process, they can use the token to gain unauthorized access to the user's session until the token expires or is manually cleared. This vulnerability hinges on the attacker's ability to access the session cookie during an active session, either through a man-in-the-middle attack, by exploiting another vulnerability like XSS, or via direct access to the victim's device. Although there is no direct resolution to this vulnerability, it is recommended to always use the latest version of Password Pusher to best mitigate risk. If self-hosting, ensure Password Pusher is hosted exclusively over SSL

GHSA-4fwj-m62q-pp47