Peneliti Menandai Kerentanan Bypass Autentikasi Serius Setelah Perbaikan Terbaru Pega Infinity Dirilis

  • Whatsapp
Peneliti Menandai Kerentanan Bypass Autentikasi Serius Setelah Perbaikan Terbaru Pega Infinity Dirilis

 

Setelah peneliti keamanan menemukan kelemahan dalam platform perangkat lunak perusahaan Pega Infinity, pengguna disarankan untuk meningkatkan penginstalan mereka.
CVE-2021-27651 adalah kerentanan risiko kritis dalam program Infinity Pega versi 8.2.1 hingga 8.5.2, menurut tim peneliti Sam Curry, Justin Rhinehart, Brett Buerhaus, dan Maik Robert.
Bukti konsep menunjukkan bagaimana penyusup dapat menghindari sistem pengaturan ulang kata sandi Pega Infinity. Melalui eksekusi kode jarak jauh khusus administrator, penyerang kemudian dapat menggunakan akun reset untuk “sepenuhnya membobol” kasus Pega. Ini termasuk memodifikasi halaman kompleks atau template. Para peneliti bekerja sama dengan pengembang Pegasystems, untuk membangun hot patch. Menurut vendor, pelanggan yang menjalankan program di tempat harus memeriksa apakah versi mereka terpengaruh dan menerapkan hot patch yang relevan.
Dengan lebih dari 2.000 pengguna, Pega Infinity adalah rangkaian perangkat lunak perusahaan yang umum. Layanan pelanggan dan otomatisasi penjualan, ‘hub keputusan pelanggan’ yang digerakkan oleh AI, kecerdasan tenaga kerja, dan platform pengembangan ‘tanpa kode’ semuanya termasuk dalam kit. Kerentanan Pega Infinity ditemukan sebagai hasil dari keterlibatan peneliti keamanan dalam program bug bounty Apple.
“Kami telah meretas program bug bounty Apple selama sekitar enam bulan dan telah menghabiskan banyak waktu untuk perangkat lunak yang diproduksi oleh Apple sendiri,” kata peretas yang berbasis di Inggris, Sam Curry, kepada The Daily Swig.
“Setelah membaca posting blog dari dua peneliti yang luar biasa, kami sepakat untuk mengambil pendekatan dan vendor target yang berbeda [supplying technology to Apple]. ”Curry telah menulis tentang pengalamannya dengan program bug bounty Apple di masa lalu.
Burp Suite digunakan oleh para peneliti untuk menemukan kesalahan pengaturan ulang kata sandi di Pega Infinity. Menurut Curry, ini memungkinkan kompromi lengkap untuk semua instance Pega tanpa “informasi prasyarat”. Justin Rhinehart juga mengembangkan template Nuclei untuk menentukan apakah perangkat lunak menjalankan Pega Infinity atau tidak.
“Pelanggan Pega berasal dari setiap sektor dan pada saat melaporkan beberapa pelanggan termasuk FBI, Angkatan Udara AS, Apple, American Express, dan beberapa nama besar lainnya.”
Curry menyatakan bahwa Pega dapat berkolaborasi dengan para peneliti untuk memperbaiki kekurangan tersebut, meskipun mereka membutuhkan waktu bagi pelanggan yang menggunakan Infinity di tempat untuk meningkatkan instalasi mereka. Curry menyebutkan bahwa prosedur tersebut memakan waktu lebih dari tiga bulan.

Pos terkait

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan. Ruas yang wajib ditandai *