Pega Infinity身份验证绕过漏洞（CVE-2021-27651）
宣布时间 2021-05-190x00 漏洞概述
CVE ID | CVE-2021-27651 | 时 间 | 2021-05-19 |
类 型 | 身份验证绕过 | 等 级 | 严重 |
远程利用 | 影响范围 | Pega Infinity 8.2.1 - 8.5.2 | |
PoC/EXP | 未果然 | 在野利用 | 否 |
0x01 漏洞详情
PEGA（Pega systems）公司是规则驱动流程自动化市场的领导者，业务遍布全球，并专注于大型企业客户，其客户领域涉及医疗保健公司、保险公司、银行、通信服务提供商等 。
Pega infinity是PEGA公司的一套企业软件套件，结合了客户加入和数字流程自动化功效，从而降低了庞大性，并可以实现随着数字化转型而生长的可扩展无代码应用法式 。
近日，Pega修复了 Pega infinity中的一个身份验证绕过漏洞（CVE-2021-27651），该漏洞的CVSSv3评分为9.8 。由于重置密码的脆弱验证机制，攻击者可以通过利用当地账户的密码重置功效来绕过当地身份验证检查，最终实现未授权访问或命令执行 。
0x02 处置建议
目前Pega已经修复了此漏洞，建议尽快应用宁静更新 。
下载链接：
https://collaborate.pega.com/discussion/pega-security-advisory-a21-hotfix-matrix
0x03 参考链接
https://collaborate.pega.com/discussion/pega-security-advisory-a21-hotfix-matrix
https://www.pega.com/infinity
https://nvd.nist.gov/vuln/detail/CVE-2021-27651
0x04 时间线
2021-04-29 CNNVD披露漏洞
2021-05-19 VSRC宣布宁静通告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号