CVE-2018-12649
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
W MISP 2.4.92 odkryto problem w pliku app/Controller/UsersController.php, który pozwala na ominięcie ochrony przed atakami typu brute-force. Atakujący może to zrobić, używając metody HTTP PUT zamiast POST w części logowania, ponieważ ochrona dotyczyła tylko żądań POST.
Ocena ryzyka
Ominięcie ochrony przed atakami brute-force zwiększa ryzyko nieautoryzowanego dostępu do kont użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację MISP do najnowszej wersji, która naprawia tę lukę, oraz wdrożenie dodatkowych mechanizmów zabezpieczających, aby chronić się przed atakami brute-force.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in app/Controller/UsersController.php in MISP 2.4.92. An adversary can bypass the brute-force protection by using a PUT HTTP method instead of a POST HTTP method in the login part, because this protection was only covering POST requests.