CVE-2020-27747

Posible toma de control de cuenta | Capacidad de fuerza bruta

[Descripción sugerida] Se descubrió un problema en Click Studios Passwordstate 8.9 (Build 8973). Si el usuario del sistema se ha asignado un código PIN para acceder desde un dispositivo móvil mediante el generador integrado (4 dígitos), un atacante remoto tiene la oportunidad de realizar un ataque de fuerza bruta sobre este código PIN.

[Información adicional] Se envió una carta al proveedor sobre la vulnerabilidad.

[Tipo de vulnerabilidad: Otro] CWE-307: Improper Restriction of Excessive Authentication Attempts

[Proveedor del producto] Click Studios (https://www.clickstudios.com.au/)

[Código base del producto afectado] Versión afectada: Passwordstate 8.9 (Build 8973). No hay versiones corregidas

[Componente afectado] Página de inicio de sesión móvil

[Tipo de ataque] Remoto

[Impacto: Divulgación de información] true

[Vectores de ataque] Si el usuario del sistema se ha asignado un código PIN para acceder desde un dispositivo móvil mediante el generador integrado (4 dígitos), un atacante remoto tiene la oportunidad de realizar un ataque de fuerza bruta sobre este código PIN.

[Descubridor] Dmitry Kuramin (Jet Infosystems, jet.su)

[Referencia] https://jet.su