CVE-2020-29667

अपर्याप्त सत्र समाप्ति | पूर्वनिर्धारित कुकी मान

[प्रस्तावित विवरण] Lan ATMService M3 ATM Monitoring System 6.1.0 में, एक दूरस्थ हमलावर PHPSESSID=LANIT-IMANAGER जैसे डिफ़ॉल्ट कुकी मान का उपयोग करने में सक्षम है, जो अपर्याप्त सत्र समाप्ति और पूर्वनिर्धारित कुकी मान के कारण सिस्टम पर नियंत्रण प्राप्त कर सकता है और दूरस्थ ATM मशीनों की वर्तमान स्थिति को संचालित कर सकता है।

[अतिरिक्त जानकारी] भेद्यता के बारे में विक्रेता को एक पत्र भेजा गया था।

[भेद्यता प्रकार अन्य] CWE-613: अपर्याप्त सत्र समाप्ति

[उत्पाद के विक्रेता] Lan ATMService LLC (http://lanatmservice.ru/)

[प्रभावित उत्पाद कोड आधार] प्रभावित संस्करण: M3 ATM Monitoring System 6.1.0। कोई निश्चित संस्करण नहीं हैं और डेवलपर्स से कोई प्रतिक्रिया नहीं।

[प्रभावित घटक] एप्लिकेशन गलत कॉन्फ़िगरेशन, जो दूरस्थ हमलावर को हार्डकोडेड पूर्वनिर्धारित कुकी मान का उपयोग करने की अनुमति देता है।

[हमला प्रकार] दूरस्थ

[प्रभाव सूचना प्रकटीकरण] true

[प्रभाव अखंडता हानि] कम

[प्रभाव उपलब्धता हानि] उच्च

[हमला वेक्टर] एक दूरस्थ हमलावर ATM मशीनों की वर्तमान स्थिति को संचालित करने के लिए सिस्टम पर नियंत्रण के लिए पूर्वनिर्धारित कुकी मान का उपयोग कर सकता है।

[खोजकर्ता] Dmitry Kuramin (Jet Infosystems, jet.su)

[संदर्भ] https://jet.su