BDU:2025-01148

Уязвимость веб-сервиса для передачи информации через временные ссылки Password Pusher связана с неверным ограничением срока действия сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к системе с помощью старых учетных данных или идентификаторов сеанса

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Обновление до версии 1.48.0 (https://github.com/pglombardo/PasswordPusher/releases/tag/v1.48.0) или выше

Использование рекомендаций производителя:
https://github.com/pglombardo/PasswordPusher/releases/tag/v1.47.1

Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений (WAF);
- использование «белого» списка IP-адресов для организации удалённого доступа к уязвимым продуктам;
- отключение/удаление неиспользуемых учётных записей пользователей.
- фильтрация подключений по 5001 сетевому порту;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).