Podatności Axxon One

W kliencie webowym AxxonSoft Axxon One przed wersją 3.0.0 występuje użycie domyślnego hasła (CWE-1393). Ponieważ klient webowy nie wymuszał obowiązkowej zmiany hasła przy pierwszym logowaniu, zdalny nieuwierzytelniony atakujący może zalogować się jako wbudowany administrator na nowo zainstalowanym systemie przy użyciu domyślnych poświadczeń.

Wspólna konfiguracja SecurityManager w AxxonSoft Axxon One przed wersją 3.1.0 przechowuje hasło w postaci jawnej (CWE-256). Lokalny atakujący z dostępem do katalogu konfiguracji lub kopii zapasowych może odczytać hasło konta usługi LDAP z pliku main.conf.

W interfejsie API konfiguracji bezpieczeństwa AxxonSoft Axxon One przed wersją 3.2.0 występuje ujawnienie poufnych informacji nieuprawnionemu podmiotowi (CWE-200). Zdalny uwierzytelniony użytkownik z ograniczonymi uprawnieniami może wyliczyć wszystkie konta i role w systemie, ponieważ żądanie konfiguracji użytkowników zwracało pełne listy niezależnie od uprawnień wywołującego.

W panelu administracyjnym Web Admin Panel w AxxonSoft Axxon One (C-Werk) przed wersją 2.0.3 na Windows występuje niewystarczające wygasanie sesji. Uwierzytelniony atakujący (lokalnie lub zdalnie) może zachować dostęp po odebraniu uprawnień, używając niewygasłego tokena sesji aż do naturalnego wygaśnięcia.