Vulnerabilidad en Zulip Server (CVE-2022-41914)

Gravedad CVSS v3.1:

BAJA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

16/11/2022

Última modificación:

21/11/2022

Descripción

Zulip es una herramienta de colaboración en equipo de código abierto. Para las organizaciones con System para Cross-domain Identity Management (SCIM) habilitada, Zulip Server 5.0 a 5.6 verificó el token de portador SCIM usando un comparador que no se ejecutaba en tiempo constante. Por lo tanto, en teoría, un atacante podría inferir el valor del token realizando un sofisticado análisis de tiempo en una gran cantidad de solicitudes fallidas. Si tiene éxito, esto permitiría al atacante hacerse pasar por el cliente SCIM por su capacidad para leer y actualizar cuentas de usuario en la organización Zulip. Las organizaciones donde no se ha habilitado la administración de cuentas SCIM no se ven afectadas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.70 BAJA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno