CVE-2020-27747

Possível Tomada de Conta | Capacidade de Força Bruta

[Descrição sugerida] Um problema foi descoberto no Click Studios Passwordstate 8.9 (Build 8973). Se o usuário do sistema atribuiu a si mesmo um código PIN para entrar a partir de um dispositivo móvel usando o gerador integrado (4 dígitos), um atacante remoto tem a oportunidade de conduzir um ataque de força bruta nesse código PIN.

[Informações adicionais] Uma carta foi enviada ao fornecedor sobre a vulnerabilidade.

[Tipo de Vulnerabilidade Outro] CWE-307: Improper Restriction of Excessive Authentication Attempts

[Fornecedor do Produto] Click Studios (https://www.clickstudios.com.au/)

[Base do Código do Produto Afetado] Versão afetada: Passwordstate 8.9 (Build 8973). Não há versões corrigidas

[Componente Afetado] Página de login móvel

[Tipo de Ataque] Remoto

[Impacto Divulgação de Informações] true

[Vetores de Ataque] Se o usuário do sistema atribuiu a si mesmo um código PIN para entrar a partir de um dispositivo móvel usando o gerador integrado (4 dígitos), um atacante remoto tem a oportunidade de conduzir um ataque de força bruta nesse código PIN.

[Descobridor] Dmitry Kuramin (Jet Infosystems, jet.su)

[Referência] https://jet.su