Vulnerabilidad en Intellispace Portal (CVE-2025-3426)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-798
Credenciales embebidas en el software
Fecha de publicación:
07/04/2025
Última modificación:
10/04/2025
Descripción
Observamos que los binarios de Intellispace Portal carecen de mecanismos de protección para evitar la ingeniería inversa. En concreto, el código de la aplicación no está ofuscado y no existen medidas de protección contra la descompilación, el desensamblado ni la depuración. Como resultado, los atacantes pueden aplicar ingeniería inversa a la aplicación para obtener información sobre su funcionamiento interno, lo que podría conducir al descubrimiento de información confidencial, fallos de lógica de negocio y otras vulnerabilidades. Aprovechando esta vulnerabilidad, el atacante pudo identificar las credenciales codificadas de PortalUsersDatabase.dll, que contiene la definición de comunicación remota .NET. Dentro del espacio de nombres PortalUsersDatabase, la clase Users contiene las funciones CreateAdmin y CreateService, que se utilizan para inicializar cuentas en el servicio Portal. Ambas funciones, CreateAdmin y CreateService, contienen una contraseña cifrada codificada junto con su respectiva sal, que se configura con la función SetInitialPasswordAndSalt. Este problema afecta a IntelliSpace Portal: versión 12 y anteriores; Advanced Visualization Workspace: versión 15.