Vulnerabilidad en Okta Device Access (CVE-2024-9191)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

01/11/2024

Última modificación:

05/11/2024

Descripción

Las funciones de Okta Device Access, proporcionadas por el agente Okta Verify para Windows, brindan acceso a OktaDeviceAccessPipe, que permite a los atacantes en un dispositivo comprometido recuperar las contraseñas asociadas con los inicios de sesión sin contraseña de Desktop MFA. La vulnerabilidad se descubrió mediante pruebas de penetración rutinarias. Nota: una condición previa de esta vulnerabilidad es que el usuario debe estar usando la función sin contraseña de Okta Device Access. Los usuarios de Okta Device Access que no usan la función sin contraseña no se ven afectados, y los clientes que solo usan Okta Verify en plataformas distintas de Windows o que solo usan FastPass no se ven afectados.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.80 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto