CVE-2023-27169
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Xpand IT Write-back manager w wersji 2.3.1 używa zaszytego na stałe saltu w konfiguracji klasy licencji, co prowadzi do generowania przewidywalnych, symetrycznych kluczy szyfrujących używanych do tworzenia i walidacji licencji. Umożliwia to atakującemu odtworzenie kluczy i sfałszowanie licencji.
Ocena ryzyka
Przewidywalne klucze szyfrujące mogą pozwolić atakującemu na wygenerowanie własnych, ważnych licencji lub obejście mechanizmów licencyjnych, co może skutkować nieautoryzowanym dostępem do funkcji produktu. Może to prowadzić do strat finansowych i naruszenia warunków licencji.
Rekomendacja
Zaktualizuj oprogramowanie do wersji, w której usunięto zaszyty salt i stosowane są bezpieczne, losowe klucze. Jeśli aktualizacja nie jest możliwa, należy skontaktować się z dostawcą w celu uzyskania wytycznych dotyczących mitygacji.
Inne podatności w Xpand IT Write-back manager
Zobacz wszystkie- CVE-2023-27168Krytyczne
Podatność na dowolne przesyłanie plików w Xpand IT Write-back Manager v2.3.1 umożliwia atakującym wykonanie dowolnego kodu poprzez spreparowany plik JSP. Atakujący może przesłać złośliwy plik, który zostanie wykonany na serwerze.
- CVE-2023-27172Krytyczne
Xpand IT Write-back Manager v2.3.1 używa słabych kluczy sekretnych do podpisywania tokenów JWT. Umożliwia to atakującym łatwe uzyskanie klucza sekretnego poprzez atak brute force, co pozwala na fałszowanie tokenów i nieautoryzowany dostęp.
- CVE-2023-27170Wysokie
Xpand IT Write-back manager w wersji 2.3.1 pozwala atakującym na przeprowadzenie ataku typu directory traversal poprzez modyfikację parametru siteName. Może to umożliwić dostęp do plików spoza zamierzonego katalogu.
Oryginalny opis (angielski, źródło NVD)
Xpand IT Write-back manager v2.3.1 uses a hardcoded salt in license class configuration which leads to the generation of a hardcoded and predictable symmetric encryption keys for license generation and validation.