Если CodeMeter Runtime настроен как сервер, версии до версий 8.41a и 9.10 обрабатывают дескрипторы для каждого соединения и полагаются на криптографически слабую систему.
SID как единственный аутентификатор. Злоумышленник может подобрать SID, восстановить номер дескриптора другого сеанса и прочитать
информация о лицензии, принадлежащая другому дескриптору.
Показать оригинальное описание (EN)
If configured as a server, CodeMeter Runtime before versions 8.41a and 9.10 issues handles per connection and relies on a cryptographically weak SID as sole authenticator. An attacker can brute-force the SID, recover another session's handle number, and read license information belonging to another handle.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 4
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Wibu-Systems-Ag Codemeter-Runtime
cpe:2.3:a:wibu-systems-ag:codemeter-runtime:*:*:*:*:*:*:*:*
|
9.00
|
9.10
|
|
Wibu-Systems-Ag Codemeter-Runtime
cpe:2.3:a:wibu-systems-ag:codemeter-runtime:*:*:*:*:*:*:*:*
|
8.00
|
8.41a
|
|
Wibu-Systems-Ag Codemeter-Runtime
cpe:2.3:a:wibu-systems-ag:codemeter-runtime:7.00:*:*:*:*:*:*:*
|
— | — |
|
Wibu-Systems-Ag Codemeter-Runtime
cpe:2.3:a:wibu-systems-ag:codemeter-runtime:6.00:*:*:*:*:*:*:*
|
— | — |