Vulnerabilidad en el módulo de autenticación de Lexar_F35 (CVE-2021-46390)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

21/03/2022

Última modificación:

29/03/2022

Descripción

Un problema de control de acceso en el módulo de autenticación de Lexar_F35 versión v1.0.34, permite a atacantes acceder a datos confidenciales y causar una Denegación de Servicio (DoS). Un atacante sin acceso a los datos protegidos de forma segura en una unidad flash USB segura puede omitir la autenticación del usuario sin tener ninguna información relacionada con la contraseña del usuario registrado. La unidad flash USB segura transmite la contraseña introducida por el usuario al módulo de autenticación de la unidad después de que el usuario registre una contraseña, y luego la contraseña introducida es comparada con la contraseña registrada almacenada en el módulo de autenticación. Posteriormente, el módulo devuelve el resultado de la comparación para la decisión de autenticación. Por lo tanto, un atacante puede omitir la autenticación de la contraseña al analizar las funciones que devuelven los resultados de verificación o comparación de la contraseña y manipular los valores de los resultados de la autenticación. En consecuencia, aunque los atacantes introduzcan una contraseña incorrecta, pueden ser autenticados como un usuario legítimo y, por lo tanto, pueden explotar las funciones de la unidad flash USB segura al manipular los valores de los resultados de la autenticación

Impacto

Vector 3.x

CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): Físico
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

6.80

Gravedad 3.x

MEDIA

Vector 2.0

AV:L/AC:L/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: AV:L/AC:L/Au:N/C:C/I:C/A:C

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo