Autorización incorrecta en Integria IMS
Integria IMS, versión 5.0.92.
INCIBE ha coordinado la publicación de una vulnerabilidad en Integria IMS, con el código interno INCIBE-2021-0405, que ha sido descubierta por @nag0mez (mención especial a @_Barriuso).
A esta vulnerabilidad se le ha asignado el código CVE-2021-3833. Se ha calculado una puntuación base CVSS v3.1 de 9,8; siendo el cálculo del CVSS el siguiente: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Esta vulnerabilidad ha sido corregida en Integria IMS 5.0.93.
La comprobación de inicio de sesión de Integria IMS utiliza un comparador suelto ("==") para comparar el hash MD5 de la contraseña proporcionada por el usuario y el hash MD5 almacenado en la base de datos.
Un atacante con una contraseña de formato específico podría explotar esta vulnerabilidad para iniciar sesión en el sistema con diferentes contraseñas.
Esta vulnerabilidad ha sido corregida en Integria IMS 5.0.93.
CWE-697: Comparación Incorrecta.
Línea temporal:
08/04/2021 - Descubrimiento por parte de los investigadores.
09/04/2021 - Los investigadores contactan con INCIBE.
20/05/2021 - Integria IMS confirma que la versión correctora y la nueva versión de software han sido publicadas (security patch).
06/10/2021 - INCIBE publica el aviso.
Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.
