cristian.cadenas
Jue, 29/06/2023 – 11:59
Ibermática RPS 2019
INCIBE ha coordinado la publicación de 2 vulnerabilidades en RPS 2019, un software de gestión empresarial (ERP), que han sido descubiertas por Francisco Javier Medina Munuera.
A estas vulnerabilidades se les han asignado los siguientes códigos:
- CVE-2023-3349:
- Puntuación base CVSS v3.1: 8,2.
- Cálculo del CVSS: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N.
- Tipo de vulnerabilidad: CWE-200: exposición de información.
- CVE-2023-3350:
- Puntuación base CVSS v3.1: 8,2.
- Cálculo del CVSS: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N.
- Tipo de vulnerabilidad: CWE-310: problemas criptográficos.
No existe solución identificada. No obstante, existe una nueva versión de RPS (enlace en ‘Referencias’).
- CVE-2023-3349: vulnerabilidad de exposición de información que podría permitir a un usuario, no autenticado, recuperar información sensible, como nombres de usuario, direcciones IP o consultas SQL enviadas a la aplicación. Al acceder a la URL /RPS2019Service/status.html, la aplicación habilita el mecanismo de registro generando el fichero log, que puede ser descargado.
- CVE-2023-3350: existe una vulnerabilidad de tipo criptográfico que podría ser explotada por un atacante al descargar el fichero de log, recuperando la consulta SQL enviada a la aplicación en texto plano. Este fichero de log contiene los hashes de las contraseñas codificados con el algoritmo AES-CBC-129 bits, que pueden ser descifrados con una función .NET, obteniendo la contraseña del usuario en texto plano.
Ir a la fuente
Author: cristian.cadenas
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen. TechConsulting muestra este contenido por creer en su fuente y cómo servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.