Vulnerabilidad en MobaXterm (CVE-2022-38337)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-798 Credenciales embebidas en el software

Fecha de publicación:

06/12/2022

Última modificación:

24/04/2025

Descripción

Al cancelar una conexión SFTP, MobaXterm anterior a v22.1 envía una contraseña codificada al servidor. El servidor trata esto como un intento de inicio de sesión no válido que puede resultar en una Denegación de Servicio (DoS) para el usuario si se utilizan servicios como fail2ban.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto