BDU:2021-04572: Уязвимость CMS-системы October CMS, связанная с недостатком механизма восстановления пароля, позволяющая нарушителю получить доступ к произвольной учетной записи
Детали уязвимости BDU:2021-04572
Описание
Уязвимость CMS-системы October CMS связана с недостатком механизма восстановления пароля. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к произвольной учетной записи с помощью специально созданного запроса
Что делать с BDU:2021-04572
Высокая уязвимость (CVSS 9.1) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.
⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NAV:N/AC:L/Au:N/C:C/I:C/A:NCVE — международный идентификатор
CWE-287 — некорректная аутентификация: программа не доказывает, что заявленный идентификатор участника верен. Ошибка возникает в веб-приложениях и API, где пароль проверяется неполно, идентификатор можно подобрать, а сессия или одноразовый код живут дольше положенного. Злоумышленник выдаёт себя за другого пользователя и получает доступ к его данным и функциям.
Как атакуют и что делать ▾
Сценарий атаки
Механизм аутентификации обходится: SQL-инъекция в логине, предсказуемые токены, отсутствие проверки подписи JWT.
Последствия
Полный несанкционированный доступ к системе под любой учётной записью.
Рекомендации
Используйте проверенные библиотеки аутентификации, MFA, не изобретайте свою криптографию.
Тактики и техники
Уязвимое ПО (2)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Сообщество свободного программного обеспечения | October CMS | от 1.0.471 до 1.0.472 | Не указана |
| Сообщество свободного программного обеспечения | October CMS | от 1.1.1 до 1.1.5 | Не указана |
Рекомендации по устранению
Использование рекомендаций: https://github.com/octobercms/library/commit/016a297b1bec55d2e53bc889458ed2cb5c3e9374 https://github.com/octobercms/library/commit/5bd1a28140b825baebe6becd4f7562299d3de3b9 https://github.com/octobercms/october/security/advisories/GHSA-mxr5-mc97-63rc
SLA ФСТЭК №117
24 часа
по базовой оценке CVSS 9.1
Уточните SLA под вашу среду
Базовый балл 9.1 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Немедленно устранить
Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
CISA KEV — активно эксплуатируется
Включена в каталог Known Exploited Vulnerabilities. Устранение — приоритет.
Информация
Обнаружена
2021-08-26
Опубликована
2021-09-20
Обновлена
2024-09-24
Эксплойт
Существует
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость политики безопасности Twig CMS-системы October CMS, позволяющая нарушителю получить несанкционированный досту
Уязвимость функции unserialize() компонента SessionMaker CMS-системы October CMS, позволяющая нарушителю выполнить произ
Уязвимость реализации метода fromData CMS-системы October CMS, позволяющая нарушителю выполнить произвольный код
Уязвимость CMS-системы October CMS, связанная с некорректной проверкой криптографической подписи, позволяющая нарушителю
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
