有缺陷的密码重置系统打开了全部帐户收购的大门

PEGA Infinity Hotfix在研究人员标记关键身份验证旁路漏洞之后发布

更新在安全研究人员发现漏洞后,建议PEGA Infinity Enterprise软件平台的用户更新其安装。

根据研究团队的说法 - 萨姆·库里(Sam Curry),贾斯汀·莱茵哈特(Justin Rhinehart),布雷特·布尔豪斯(Brett Buerhaus)和迈克·罗伯特(Maik Robert)CVE-2021-27651是PEGA Infinity软件的8.2.1至8.5.2版本中的关键风险脆弱性。

概念证明表明,攻击者如何绕过Pega Infinity的密码重置系统。

然后,攻击者可以使用RESET帐户通过仅限管理员来“完全妥协” PEGA实例远程代码执行。这可能包括修改动态页面或模板。

研究人员与开发人员Pegasystems合作开发了热门修复对于软件。

供应商建议,在本地运行该软件的客户应检查其版本是否受到影响并应用相关的热程序。

企业软件pwnage

Pega Infinity是一个受欢迎的企业软件套件,拥有超过2,000个用户。该软件包包括客户服务和销售自动化,AI- 驱动的“客户决策中心”,劳动力智能和“无代码”开发平台。

安全研究人员通过参与苹果公司遇到了PEGA Infinity脆弱性错误赏金程序。


受到推崇的远程鼠标移动应用程序包含零日RCE漏洞的筏


“我们已经在苹果的Bug Bounty计划中攻击了大约六个月,并且花了很多时间在Apple自己生产的软件上,”英国的Hacker Sam Curry告诉每日swbeplay2018官网ig

“我们已决定在阅读后切换路线和目标供应商(向Apple提供技术)博客文章来自两个很棒的研究人员。”

咖喱有先前记录的他在苹果的经历错误赏金程序。

在错误后面

研究人员使用Burp Suite发现PEGA Infinity中的密码重置弱点。

根据库里的说法,这允许对任何具有“没有先决条件知识”的PEGA实例进行全面妥协。

此外,贾斯汀·莱茵哈特(Justin Rhinehart)开发了一个核模板,以确定软件是否正在运行PEGA Infinity。


阅读更多最新的安全研究新闻


库里解释说:“这些系统在很大程度上是公众面对面的,不一定是在内部运行的,因此在报告时,有大量受影响的客户在外部运行PEGA Infinity。”

“ Pega的客户来自每个行业,在报告一些客户时,包括联邦调查局,美国空军,苹果,美国运通和其他一些大牌。”

库里(Curry)说,佩加(Pega)很快就可以与研究人员合作以修补漏洞,即使他们需要时间让运行Infinity本地的客户更新安装。库里说,这一过程花了三个多月。

回答来自每日swbeplay2018官网igPegasystems说:“我们已经在负责任的披露过程下与研究人员合作,以开发解决方案,建议客户应用程序,并于2021年4月29日发布CVE(2021-27651)。”

供应商补充说:“我们还想指出,没有客户报告与此漏洞有关的任何问题。PEGA将安全性作为重中之重,我们已迅速采取行动来解决此问题。

“ PEGA认为独立安全研究人员在互联网安全中发挥了重要作用,我们鼓励负责报告我们网站或应用程序中可能发现的任何漏洞。”


本文已更新以包括Pegasystems的评论。


不要忘记阅读什么泡沫?您需要了解的有关Google新广告技术的所有信息,旨在取代第三方Cookie