CVE-2022-37144
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Platforma PlexTrac przed wersją API 1.17.0 nie ogranicza liczby prób uwierzytelniania MFA TOTP. Niezalogowany zdalny atakujący, posiadający prawidłową nazwę użytkownika i hasło, może metodą brute-force ominąć ochronę MFA i zalogować się jako docelowy użytkownik.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta użytkownika przez atakującego, który zna jego dane logowania, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i funkcji platformy.
Rekomendacja
Należy niezwłocznie zaktualizować platformę PlexTrac do wersji API 1.17.0 lub nowszej, która wprowadza ograniczenia liczby prób MFA TOTP.
Inne podatności w PlexTrac
Zobacz wszystkie- CVE-2022-37146Średnie
Podatność w platformie PlexTrac przed wersją 1.28.0 umożliwia enumerację nazw użytkowników poprzez różnice w czasie odpowiedzi HTTP przy nieudanych próbach logowania dla kont skonfigurowanych z dostawcą uwierzytelniania PlexTrac. Niezautoryzowany zdalny atakujący może zidentyfikować prawidłowe, odblokowane konta użytkowników.
- CVE-2022-37145Wysokie
Platforma PlexTrac przed wersją 1.17.0 nie ogranicza liczby nieudanych prób logowania dla kont korzystających z wbudowanego dostawcy uwierzytelniania. Zdalny, nieuwierzytelniony atakujący może przeprowadzić atak brute-force na stronie logowania bez żadnych ograniczeń czasowych lub liczbowych.
Oryginalny opis (angielski, źródło NVD)
The PlexTrac platform prior to API version 1.17.0 does not restrict excessive MFA TOTP submission attempts. An unauthenticated remote attacker in possession of a valid username and password can bruteforce their way past MFA protections to login as the targeted user.