CVE-2025-20628
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
PingIDM (dawniej ForgeRock Identity Management) ma niewystarczającą szczegółowość kontroli dostępu dla zdalnych serwerów łączników (RCS) w trybie klienta. Atakujący może podszyć się pod RCS w trybie klienta, aby przechwycić lub zmodyfikować właściwości związane z bezpieczeństwem tożsamości, takie jak hasła i dane odzyskiwania konta.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontami użytkowników, zmieniając hasła i dane odzyskiwania, co prowadzi do naruszenia bezpieczeństwa tożsamości.
Rekomendacja
Skonfiguruj reguły dostępu dla RCS w trybie klienta zgodnie z dokumentacją PingIDM lub wyłącz tryb klienta, jeśli nie jest wymagany.
Oryginalny opis (angielski, źródło NVD)
An insufficient granularity of access control vulnerability exists in PingIDM (formerly ForgeRock Identity Management) where administrators cannot properly configure access rules for Remote Connector Servers (RCS) running in client mode. This means attackers can spoof a client-mode RCS (if one exists) to intercept and/or modify an identity’s security-relevant properties, such as passwords and account recovery information. This issue is exploitable only when an RCS is configured to run in client mode.