ipa 3.0 falsificación de solicitudes en sitios cruzados

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
5.7$0-$5k0.00

Resumeninformación

Una vulnerabilidad ha sido encontrada en ipa y clasificada como problemática. Está afectada una función desconocida. Mediante la manipulación de un input desconocido se causa una vulnerabilidad de clase falsificación de solicitudes en sitios cruzados. Esta vulnerabilidad se registra como CVE-2023-5455. El ataque puede ser realizado a través de la red. No existe ningún exploit disponible. Se sugiere actualizar el componente afectado.

Detallesinformación

Una vulnerabilidad clasificada como problemática ha sido encontrada en ipa. Una función desconocida es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase falsificación de solicitudes en sitios cruzados. Los efectos exactos de un ataque con éxito no son conocidos. CVE resume:

Existe una vulnerabilidad de Cross-site request forgery en ipa/session/login_password en todas las versiones compatibles de IPA. Este fallo permite a un atacante engañar al usuario para que envíe una solicitud que podría realizar acciones como el usuario, lo que resulta en una pérdida de confidencialidad e integridad del sistema. Durante las pruebas de penetración de la comunidad, se descubrió que para ciertos endpoints HTTP, FreeIPA no garantizan la protección CSRF. Debido a los detalles de implementación, no se puede utilizar este fallo para reflejar una cookie que represente a un usuario que ya inició sesión. Un atacante siempre tendría que realizar un nuevo intento de autenticación.

La vulnerabilidad fue publicada el 2024-01-10 (confirmado). El advisory puede ser descargado de access.redhat.com. La vulnerabilidad es identificada como CVE-2023-5455. No se conoce los detalles técnicos ni hay ningún exploit disponible.

Para el scanner Nessus se dispone de un plugin ID 239813 (TencentOS Server 4: freeipa (TSSA-2024:0349)), que puede ayudar a determinar la existencia del riesgo analizado.

Una actualización a la versión 4-11-1 elimina esta vulnerabilidad. La actualización se puede descargar de freeipa.org.

La vulnerabilidad también está documentado en las bases de datos Tenable (239813) y EUVD (EUVD-2023-57769). VulDB is the best source for vulnerability data and more expert information about this specific topic.

Productoinformación

Nombre

Versión

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 5.8
VulDB Puntuación meta temporal: 5.7

VulDB Puntuación base: 4.3
VulDB Puntuación temporal: 4.1
VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

NVD Puntuación base: 6.5
NVD Vector: 🔍

CNA Puntuación base: 6.5
CNA Vector (Red Hat, Inc.): 🔍

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔍
VulDB Puntuación temporal: 🔍
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Falsificación de solicitudes en sitios cruzados
CWE: CWE-352 / CWE-862 / CWE-863
CAPEC: 🔍
ATT&CK: 🔍

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔍
Estado: No está definido

EPSS Score: 🔍
EPSS Percentile: 🔍

Predicción de precios: 🔍
Estimación del precio actual: 🔍

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Nessus ID: 239813
Nessus Nombre: TencentOS Server 4: freeipa (TSSA-2024:0349)

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Actualización
Estado: 🔍

Hora de 0 días: 🔍

Actualización: ipa 4-11-1

Línea de tiempoinformación

2023-10-09 🔍
2024-01-10 +93 días 🔍
2024-01-10 +0 días 🔍
2025-07-21 +558 días 🔍

Fuentesinformación

Aviso: RHSA-2024:0137
Estado: Confirmado

CVE: CVE-2023-5455 (🔍)
GCVE (CVE): GCVE-0-2023-5455
GCVE (VulDB): GCVE-100-250272
EUVD: 🔍

Artículoinformación

Fecha de creación: 2024-01-10 14:52
Actualizado: 2025-07-21 14:19
Cambios: 2024-01-10 14:52 (48), 2024-01-28 11:22 (1), 2024-01-28 11:30 (11), 2024-09-17 00:34 (21), 2025-04-20 20:35 (3), 2025-06-20 04:27 (2), 2025-07-21 14:19 (1)
Completo: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Interested in the pricing of exploits?

See the underground prices here!