Niekompletna konfiguracja uwierzytelniania agentów w środowisku DriveLock umożliwia nieuwierzytelnionemu atakującemu podszywanie się pod dowolnego agenta DriveLock w sieci. Podatność otrzymała ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.
▸ Pokaż oryginał (EN)
An issue was discovered in DriveLock 24.1 through 24.1.*, 24.2 through 24.2.*, and 25.1 through 25.1.*. An incomplete configuration (agent authentication) in DriveLock tenant allows attackers to impersonate any DriveLock agent on the network against the DES (DriveLock Enterprise Service).
W wersjach DriveLock 24.1.*, 24.2.* oraz 25.1.* konfiguracja uwierzytelniania agentów w ramach tenanta DriveLock jest niekompletna (CWE-287 — niewłaściwe uwierzytelnianie). Skutkuje to brakiem skutecznej weryfikacji tożsamości agentów komunikujących się z usługą DriveLock Enterprise Service (DES). Atakujący sieciowy, bez posiadania jakichkolwiek poświadczeń, może wysyłać do DES żądania z podszywaną tożsamością dowolnego legalnego agenta DriveLock.
Atakujący może w pełni podszyć się pod autoryzowanego agenta DriveLock i w konsekwencji uzyskać nieautoryzowany dostęp do danych, wprowadzać nieautoryzowane zmiany w konfiguracji zarządzanych endpointów lub zakłócać działanie usługi DES, co odpowiada wysokiemu wpływowi na poufność, integralność i dostępność.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (biuletyn bezpieczeństwa DriveLock 25-006 dostępny pod adresem wskazanym w referencjach). Rekomenduje się również weryfikację i uzupełnienie konfiguracji uwierzytelniania agentów w tenantach DriveLock zgodnie z wytycznymi producenta.
DriveLock w wersjach 24.1 do 24.1.*, 24.2 do 24.2.* oraz 25.1 do 25.1.*
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HDrivelock
APPDrivelock24.1 – 24.1.424.2 – 24.2.825.1 – 25.1.6
Powiązane podatności
DriveLock — eskalacja uprawnień przez manipulację procesami uprzywilejowanymi
XSS w DriveLock Operations Center umożliwiający przejęcie sesji
DriveLock — nieautoryzowana eskalacja uprawnień do roli Supervisor przez API
DriveLock — privilege escalation umożliwiające przejęcie kontroli nad systemem
An issue was discovered in DriveLock 24.1 before 24.1.6, 24.2 before 24.2.7, and 25.1 before 25.1.5. An unpriv...