CVE-2023-35833
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W YSoft SAFEQ 6 Server przed wersją 6.0.82 występuje problem związany z modyfikacją adresu URL konfiguracji serwera LDAP. Zmiana z LDAPS na LDAP nie wymaga ponownego wprowadzenia hasła, co prowadzi do ujawnienia danych uwierzytelniających w postaci niezaszyfrowanej.
Ocena ryzyka
Organizacja może być narażona na ataki, w których złośliwy serwer LDAP może przechwycić dane uwierzytelniające administratora. Wymaganie dostępu administracyjnego do zmiany konfiguracji ogranicza ryzyko, ale nie eliminuje go całkowicie.
Rekomendacja
Zaleca się, aby administratorzy nie zmieniali konfiguracji LDAP bez odpowiednich zabezpieczeń oraz aby stosowali połączenia LDAPS, aby chronić dane uwierzytelniające.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in YSoft SAFEQ 6 Server before 6.0.82. When modifying the URL of the LDAP server configuration from LDAPS to LDAP, the system does not require the password to be (re)entered. This results in exposing cleartext credentials when connecting to a rogue LDAP server. NOTE: the vendor originally reported this as a security issue but then reconsidered because of the requirement for Admin access in order to change the configuration.