Vulnerabilidades do Rapid7 Vulnerability Management

As versões do Rapid7 InsightVM anteriores à 8.34.0 apresentam um problema de verificação de assinatura no endpoint em nuvem do Assertion Consumer Service (ACS), que poderia permitir que um atacante obtivesse acesso não autorizado a contas do InsightVM configuradas em instalações do “Security Console”, resultando em tomada de controle total da conta. O problema ocorre porque a aplicação processa essas asserções não assinadas e emite cookies de sessão que concediam acesso às contas de usuário visadas. Isso foi corrigido na versão 8.34.0 do InsightVM.