Vulnerabilidad en la funcionalidad Yubico OTP de los tokens de hardware YubiKey (CVE-2022-24584)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

11/05/2022

Última modificación:

03/08/2024

Descripción

Un control de acceso incorrecto en la funcionalidad Yubico OTP de los tokens de hardware YubiKey junto con el servidor de validación Yubico OTP. El Yubico OTP supuestamente crea credenciales de segundo factor vinculadas al hardware. Cuando un usuario reprograma la funcionalidad OTP "escribiéndola" en un token utilizando la herramienta de personalización de Yubico, puede cargar la nueva configuración en los servidores de validación OTP de Yubico. NOTA: el proveedor discute esto porque no hay forma de que un dispositivo YubiKey evite que un usuario decida que un valor secreto, que se importa en el dispositivo, se almacene también en otro lugar

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno