Vulnerabilidad en Open-Xchange OX App Suite (CVE-2016-4027)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

15/12/2016

Última modificación:

12/04/2025

Descripción

Ha sido descubierto un problema en Open-Xchange OX App Suite en versiones anteriores a 7.8.1-rev10. El frontend App Suite ofrece controlar si un usuario quiere almacenar cookies que exceden la duración de sesión. Esta funcionalidad es útil cuando se inicia sesión desde clientes con privilegios reducidos o entornos compartidos. Sin embargo la configuración fue reconocida incorrectamente y las cookies fueron almacenadas independientemente de estos ajustes cuando el inicio de sesión fue realizado usando un método de inicio de sesión no interactivo. En caso de que el ajuste fuera forzado por la configuración de middleware o el usuario pasó por la página de inicio de sesión interactiva, el flujo de trabajo era correcto. Las cookies con información de autenticación pueden estar disponibles para otros usuarios en entornos compartidos. En caso de que el usuario no se haya desconectado correctamente de la sesión, los terceros con acceso al mismo cliente pueden acceder a la cuenta de un usuario.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

3.50

Gravedad 3.x

BAJA

Vector 2.0

AV:N/AC:M/Au:S/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: AV:N/AC:M/Au:S/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno