| CVE ID | CVE-2023-4537 |
| Data publikacji | 15 lutego 2024 |
| Producent podatnego oprogramowania | Comarch SA |
| Nazwa podatnego oprogramowania | Comarch ERP XL |
| Podatne wersje | Od 2020.2.2 do 2023.2 włącznie |
| Typ podatności (CWE) | Missing Encryption of Sensitive Data (CWE-311) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2023-4538 |
| Data publikacji | 15 lutego 2024 |
| Producent podatnego oprogramowania | Comarch SA |
| Nazwa podatnego oprogramowania | Comarch ERP XL |
| Podatne wersje | Od 2020.2.2 do 2023.2 włącznie |
| Typ podatności (CWE) | Insufficiently Protected Credentials (CWE-522) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
| CVE ID | CVE-2023-4539 |
| Data publikacji | 15 lutego 2024 |
| Producent podatnego oprogramowania | Comarch SA |
| Nazwa podatnego oprogramowania | Comarch ERP XL |
| Podatne wersje | Od 2020.2.2 do 2023.2 włącznie |
| Typ podatności (CWE) | Use of Hard-coded Credentials (CWE-798) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu Comarch ERP XL i koordynował proces ujawniania informacji. Podatności zostały potwierdzone przez producenta oraz otrzymały poprawki bezpieczeństwa.
- Podatność CVE-2023-4537 pozwala na obniżenie wersji protokołu MS SQL do postaci niezaszyfrowanej. Aplikacja akceptuje żądania downgrade protokołu nadchodzące ze strony serwera, co umożliwia podsłuchanie i modyfikację komunikacji.
- Podatność CVE-2023-4538 polega na niedostatecznym chronieniu danych uwierzytelniających. Skonfigurowane podczas instalacji dane logowania do bazy danych są przechowywane w specjalnej tabeli i szyfrowane za pomocą takiego samego, współdzielonego klucza we wszystkich podatnych wersjach programu Comarch ERP XL. Umożliwia to atakującemu mającemu dostęp do tej tabeli pobranie haseł w postaci niezaszyfrowanej.
- Podatność CVE-2023-4539 umożliwia uzyskanie dostępu do informacji przechowywanych w bazie danych. To samo, zakodowane na stałe hasło do specjalnego konta w bazie, jest używane we wszystkich podatnych instalacjach programu Comarch ERP XL.
Podziękowania
Za zgłoszenie podatności dziękujemy dr. inż. Marcinowi Ochabowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.