CVE-2020-24030

---

[説明]

ForLogic Qualiex v1およびv3には、トークンの有効期限が脆弱です。これにより、リモートの未認証ユーザーが権限昇格を行い、トークンの再利用を介して機密データにアクセスできる可能性があります。

---

[重要な日付]

• ベンダーへの通知: 2020-07-12
• 公開日: 2020-08-31

---

[脆弱性の種類]

不正なアクセス制御

---

[製品ベンダー]

ForLogic

---

[影響を受ける製品コードベース]

• Qualiex - v1
• Qualiex - v3
• 他のバージョンも影響を受ける可能性があります（特に同一ファミリー内。まだテストされていません）

---

[影響を受けるコンポーネント]

Qualiex

---

[攻撃タイプ]

リモート

---

[影響：権限昇格]

True

---

[影響：情報漏洩]

True

---

[攻撃ベクトル]

認証トークンの有効期限が脆弱であるため、トークンを再利用して権限を取得し、機密データにアクセスすることが可能です。

---

[ベンダーは脆弱性を確認または認めていますか？]

True

---

[発見者]

Mauricio Santos (R&D UnderProtection)、Claudemir Nunes (R&D UnderProtection) および Hesron Hori (R&D UnderProtection)

---

[謝辞]

Forlogic - 協調的な開示に協力したベンダーの情報セキュリティチーム

---

[参考]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24030