CVE-2020-37168: Systempay 1.0 para e-commerce: força bruta da chave secreta de produção usada em assinaturas de pagamento (CWE-328)
A CVE-2020-37168 afeta o Ecommerce Systempay 1.0 e está classificada como CWE-328 no registro. Segundo a descrição, a chave secreta de produção de 16 caracteres usada para assinar dados de pagamento pode ser recuperada por força bruta, o que poderia permitir assinaturas de pagamento forjadas e alteração de valores de transação. O registro informa CVSS 3.1 9.8 (Crítico) e CVSS 4.0 9.3, e não há exploração confirmada no catálogo KEV da CISA.
Visão geral
O registro descreve uma implementação criptográfica fraca no Ecommerce Systempay 1.0. A chave de assinatura de pagamentos é um segredo de produção de 16 caracteres, e a descrição afirma que ela pode ser recuperada por testes iterativos de candidatos de chave contra assinaturas capturadas em envios de formulários de pagamento. O registro classifica a fraqueza como CWE-328 e foi publicado pelo CNA disclosure@vulncheck.com, com a entrada no NVD marcada como Deferred.
Impacto
- Segundo a descrição, um atacante que recupere a chave poderia forjar assinaturas de pagamento válidas.
- A descrição também indica que valores de transação poderiam ser manipulados.
- O registro informa CVSS 3.1 9.8 (Crítico, vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) e CVSS 4.0 9.3, ambos fornecidos por disclosure@vulncheck.com.
Produtos e versões afetadas
- O registro identifica o Ecommerce Systempay 1.0.
- A lista de afetados do registro está vazia, portanto a faixa exata de versões afetadas é desconhecida a partir das fontes deste registro.
- A lista de correções do registro também está vazia. Isso não significa que não exista correção; o status de uma correção é desconhecido.
Status de exploração
Não há entrada deste CVE no catálogo KEV da CISA, portanto não há exploração ativa confirmada registrada no KEV. A lista de referências inclui uma entrada do Exploit-DB (48017), mas esta análise não verifica o conteúdo dela nem se foi usada contra sistemas reais. Não há exploração confirmada na natureza nas fontes consultadas.
Correção e mitigação
- Trate este item como prioridade alta para qualquer organização que use o Systempay 1.0 para processar pagamentos, dado o escore crítico de CVSS.
- Entre em contato com a Systempay ou com seu integrador de pagamentos para confirmar se há versão corrigida ou um mecanismo de assinatura substituto. O registro não traz essa informação.
- Revise a documentação oficial do Systempay sobre o mecanismo de assinatura, como a documentação Systempay, para entender como as chaves de produção são geradas, armazenadas e renovadas.
- Renove a chave de produção se houver motivo para suspeitar de exposição, coordenando a troca com o provedor de pagamento.
- Limite a exposição de dados de formulários de pagamento e de valores de assinatura, e evite registrá-los em texto claro.
Orientações de detecção
- Monitore transações de pagamento em busca de alterações inesperadas de valores ou falhas de assinatura, e concilie com os registros do provedor de pagamento.
- Revise logs de aplicação e web em busca de volumes incomuns de requisições ao endpoint de pagamento que possam indicar testes repetidos de cargas assinadas.
- Correlacione alertas do gateway de pagamento com mudanças na atividade da conta do lojista.
Limitações das informações disponíveis
O registro não inclui avisos de fornecedor da Systempay, faixas de versões afetadas, versões corrigidas nem as condições exatas em que o método de recuperação da chave funciona. A entrada do Exploit-DB e o aviso da VulnCheck foram listados como referências, mas o conteúdo deles não foi revisado para esta análise. Os dados de EPSS presentes no registro não são usados aqui para avaliar o risco.
Perguntas frequentes
O que é a CVE-2020-37168?
É uma fraqueza relatada no Ecommerce Systempay 1.0 em que a chave de produção de 16 caracteres usada nas assinaturas de pagamento pode ser recuperada por força bruta, segundo a descrição do registro.
Esta vulnerabilidade está sendo explorada ativamente?
O catálogo KEV da CISA não lista esta CVE, e não há exploração confirmada na natureza nas fontes consultadas. O registro inclui uma referência ao Exploit-DB cujo conteúdo não foi verificado aqui.
Existe versão corrigida disponível?
O registro não informa nenhuma versão corrigida. A ausência de correção no registro não confirma que ela não exista, então consulte o fornecedor ou seu integrador de pagamentos.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.