The Norton App Lock prior to version 1.3.0.13 can be susceptible to an authentication bypass exploit.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• symantec norton app lockдо 1.3.0.13

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (symantec). Не зависят от анализа CPE в NVD и обычно опережают его.

• Symantec Corporation Norton App Lock

  • Prior to version 1.3.0.13затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2016-6591A security bypass vulnerability exists in Symantec Norton App Lock 1.0.3.186 and earlier if application pinning is enabled, which could let
  28Наблюдать
• CVE-2018-18363Norton App Lock prior to 1.4.0.445 can be susceptible to a bypass exploit.
  24Наблюдать
• CVE-2018-5239Norton App Lock prior to v1.3.0.332 can be susceptible to a bypass exploit.
  24Наблюдать
• CVE-2018-5242Norton App Lock prior to version 1.3.0.329 can be susceptible to a bypass exploit.
  24Наблюдать
• CVE-2019-18373Norton App Lock, prior to 1.4.0.503, may be susceptible to a bypass exploit.
  22Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Аутентификация добавляется к каждому маршруту по отдельности, а не обеспечивается централизованно. Если маршрут, добавленный позже, обходит общий промежуточный обработчик, проверка сессии для него не выполняется вовсе.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use("/admin", requireSession, adminRouter);2
3// Добавленный позже маршрут обходит обработчик4app.post("/admin-api/config", updateConfig);

1const admin = express.Router();2admin.use(requireSession, requireRole("admin"));3
4admin.post("/config", updateConfig);5app.use("/admin", admin);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.