Vulnerabilidade no gestor de identidades da Novell

29 Mar 2013

3 Comentários

Foi encontrada uma vulnerabilidade grave no gestor de identidades da Novell utilizado por diversas instituições a nível mundial.

A vulnerabilidade consiste na autenticação com qualquer utilizador utilizando como palavra-passe ‘ ‘ (Espaço) para além da definida pelo próprio.

Após a entrada no sistema é possível alterar as respostas ás perguntas de segurança e através dos mecanismos de recuperação da palavra-passe proceder à alteração da mesma.

Com a palavra-passe alterada, pode dar acesso não só à página, mas possivelmente a todos os serviços com que o gestor de passwords sincroniza, como por exemplo email, VPN, etc…

Em Portugal a falha está presente em pelo menos uma instituição pública, cujo nome não será revelado por questões de segurança.

Nota: Esta falha já foi reportada.

PUB

Autor: Francisco Aragão

Partilhar:

Tags:

PUB.

Questão Semanal

Loading …

Arquivo de Questões

PUB.

Velocímetro Pplware

Teste a velocidade da sua Internet

Arquivo

Artigo anterior

Introdução ao Xcode

Próximo artigo

WX Xtreme Desktop, o Windows visto de outra perspectiva

PUB

Comentários

3

Deixe um comentário Cancelar resposta

João

29 de Março de 2013

Realmente a falha ainda está lá presente! 😐

Responder
Moonwalker

29 de Março de 2013

Nao é novo. Inclusive antigamente quando era necessario dazer reset a passwords entravamos com a password espaço…

Responder
Alexandre Pinto

29 de Março de 2013

Parece-me uma falha basica de SQL injection. Além disso, para isto acontecer, a query deve estar a verificar a password directamente na base de dados, o que significa que as passwords são guardadas na sua forma original e não em forma de hash…
Se é realmente assim, em termos de segurança estão um pouco aquém…

Responder

Aviso:

Todo e qualquer texto publicado na internet através deste sistema não reflete, necessariamente, a opinião deste site ou do(s) seu(s) autor(es). Os comentários publicados através deste sistema são de exclusiva e integral responsabilidade e autoria dos leitores que dele fizerem uso. A administração deste site reserva-se, desde já, no direito de excluir comentários e textos que julgar ofensivos, difamatórios, caluniosos, preconceituosos ou de alguma forma prejudiciais a terceiros. Textos de caráter promocional ou inseridos no sistema sem a devida identificação do seu autor (nome completo e endereço válido de email) também poderão ser excluídos.