Podatność w produktach SecHard firmy Sechard Information Technologies umożliwia obejście uwierzytelniania oraz przechwycenie poświadczeń poprzez nieprawidłowe użycie uprzywilejowanych API i przesyłanie wrażliwych danych w postaci jawnej. Ze względu na wynik CVSS 9.0 i możliwość przejęcia kontroli nad systemem, podatność jest oceniana jako krytyczna.
▸ Pokaż oryginał (EN)
Incorrect Use of Privileged APIs, Cleartext Transmission of Sensitive Information, Insufficiently Protected Credentials vulnerability in Sechard Information Technologies SecHard allows Authentication Bypass, Interface Manipulation, Authentication Abuse, Harvesting Information via API Event Monitoring. This issue affects SecHard: before 3.3.0.20220411.
Produkt SecHard nieprawidłowo wykorzystuje uprzywilejowane API (CWE-648), co pozwala atakującemu na manipulację interfejsami i nadużycie mechanizmów uwierzytelniania. Ponadto wrażliwe dane, w tym poświadczenia, są przesyłane w postaci niezaszyfrowanej (CWE-319), co umożliwia ich przechwycenie w sieci lokalnej. Niedostateczna ochrona przechowywanych i przesyłanych danych uwierzytelniających (CWE-522) dodatkowo ułatwia ich pozyskanie poprzez monitorowanie zdarzeń API.
Atakujący z dostępem do sieci lokalnej, posiadający podstawowe uprawnienia, może ominąć mechanizmy uwierzytelniania, manipulować interfejsami systemu oraz pozyskać poświadczenia innych użytkowników — co w efekcie może prowadzić do pełnego przejęcia systemu (naruszenie poufności, integralności i dostępności).
Należy zaktualizować SecHard do wersji 3.3.0.20220411 lub nowszej. Szczegółowe informacje dostępne są w referencjach producenta oraz w biuletynie TR-25-0074 opublikowanym przez USOM.
SecHard (Sechard Information Technologies) we wszystkich wersjach wcześniejszych niż 3.3.0.20220411.
Podatność została zgłoszona przez turecką instytucję USOM (Ulusal Siber Olaylara Müdahale Merkezi) pod identyfikatorem TR-25-0074. Wektor ataku wymaga dostępu do sieci lokalnej (AV:A) oraz posiadania podstawowych uprawnień (PR:L), co nieznacznie ogranicza powierzchnię ataku w porównaniu z podatnościami dostępnymi zdalnie bez uwierzytelnienia.
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H