Descripción
JuggleIM im-server hasta la versión 1.8.16 incluye credenciales de administrador por defecto admin/123456 que permiten a atacantes remotos no autenticados acceder a la consola de administración en el puerto 8090. Los atacantes pueden iniciar sesión como administrador, incluso después de eliminar la cuenta, ya que CheckLogin la vuelve a crear, para controlar las aplicaciones de los tenants y sus secretos.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- JuggleIM Afectadas: hasta 1.8.16
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/juggleim-im-server-default-admin-credential
- Referencia en github.comgithub.com/juggleim/im-server/blob/v1.8.16/sql/imserver.sql
- Referencia en github.comgithub.com/juggleim/imserver-console/blob/v1.0.10/services/accountser…
- Referencia en github.comgithub.com/juggleim/im-server
- Aviso de vulncheck.comvulncheck.com/advisories/juggleim-im-server-through-1.8.16-default-ad…
Ver el texto original en inglés (CVE.org)
JuggleIM im-server through 1.8.16 Default Admin Credentials in Admin Console
JuggleIM im-server through 1.8.16 ships default administrator credentials admin/123456 that allow unauthenticated remote attackers to access the admin console on port 8090. Attackers can log in as administrator, even after account deletion since CheckLogin recreates it, to control tenant applications and app secrets.