CVE-2020-24030

---

[설명]

ForLogic Qualiex v1 및 v3에는 취약한 토큰 만료가 있습니다. 이로 인해 원격의 인증되지 않은 권한 상승이 가능하며 토큰 재사용을 통해 민감한 데이터에 접근할 수 있습니다.

---

[중요 날짜]

• 공지(공급업체): 2020-07-12
• 공개 공시일: 2020-08-31

---

[취약점 유형]

잘못된 접근 제어

---

[제품 공급업체]

ForLogic

---

[영향받는 제품 코드 베이스]

• Qualiex - v1
• Qualiex - v3
• 다른 버전도 영향을 받을 수 있으며, 특히 같은 제품군에서 그럴 수 있습니다(아직 테스트되지 않음)

---

[영향받는 구성 요소]

Qualiex

---

[공격 유형]

원격

---

[영향: 권한 상승]

True

---

[영향: 정보 공개]

True

---

[공격 벡터]

인증 토큰의 취약한 만료로 인해 토큰 재사용이 가능하여 권한을 획득하고 민감한 데이터에 접근할 수 있습니다

---

[공급업체가 취약점을 확인하거나 인정했습니까?]

True

---

[발견자]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) 및 Hesron Hori (R&D UnderProtection)

---

[감사 인사]

Forlogic - 조정된 공개에 협력한 공급업체의 정보 보안 팀

---

[참조]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24030