CVE-2024-29296
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W Portainer CE 2.19.4 wykryto podatność umożliwiającą enumerację użytkowników. Podczas procesu uwierzytelniania różnica w czasie odpowiedzi pozwala zdalnemu, nieuwierzytelnionemu atakującemu stwierdzić, czy dana nazwa użytkownika jest poprawna.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może zebrać listę prawidłowych nazw użytkowników, co ułatwia przeprowadzenie ukierunkowanych ataków siłowych lub socjotechnicznych na system Portainer.
Rekomendacja
Zaleca się aktualizację Portainer CE do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji warto rozważyć ograniczenie dostępu do interfejsu Portainer tylko z zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
A user enumeration vulnerability was found in Portainer CE 2.19.4. This issue occurs during user authentication process, where a difference in response time could allow a remote unauthenticated user to determine if a username is valid or not.