Pega Infinity身份验证绕过缝隙（CVE-2021-27651）
颁布功夫 2021-05-190x00 缝隙概述
CVE ID | CVE-2021-27651 | 时 间 | 2021-05-19 |
类 型 | 身份验证绕过 | 等 级 | 严沉 |
远程利用 | 影响领域 | Pega Infinity 8.2.1 - 8.5.2 | |
PoC/EXP | 未公开 | 在野利用 | 否 |
0x01 缝隙详情
PEGA（Pega systems）公司是规定驱动流程自动化市场的辅导者，业务遍布全球，并专一于大型企业客户，其客户领域涉及医疗保健公司、保险公司、银杏注通折服务提供商等 。
Pega infinity是PEGA公司的一套企业软件套件，结合了客户参加和数字流程自动化职能，从而降低了复杂性，并能够实现随着数字化转型而发展的可扩大无代码利用法式 。
近日，Pega建复了 Pega infinity中的一个身份验证绕过缝隙（CVE-2021-27651），该缝隙的CVSSv3评分为9.8 。由于沉置密码的脆弱验证机造，攻击者能够通过利用本地账户的密码沉置职能来绕过本地身份验证查抄，最终实现未授权接见或号令执行 。
0x02 措置建议
目前Pega已经建复了此缝隙，建议尽快利用安全更新 。
下载链接：
https://collaborate.pega.com/discussion/pega-security-advisory-a21-hotfix-matrix
0x03 参考链接
https://collaborate.pega.com/discussion/pega-security-advisory-a21-hotfix-matrix
https://www.pega.com/infinity
https://nvd.nist.gov/vuln/detail/CVE-2021-27651
0x04 功夫线
2021-04-29 CNNVD披露缝隙
2021-05-19 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号