CVE-2024-34882
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W systemie 1C-Bitrix Bitrix24 w wersji 23.300.100 wykryto podatność polegającą na niewystarczającej ochronie poświadczeń w ustawieniach serwera SMTP. Zdalny administrator może wysłać hasła kont SMTP na dowolny serwer za pomocą żądania HTTP POST.
Ocena ryzyka
Ryzyko polega na możliwości przechwycenia haseł SMTP przez nieuprawnione osoby, co może prowadzić do nieautoryzowanego dostępu do serwerów pocztowych i dalszych ataków na infrastrukturę organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu 1C-Bitrix Bitrix24 do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów ochrony poświadczeń, takich jak szyfrowanie w spoczynku i podczas transmisji.
Oryginalny opis (angielski, źródło NVD)
Insufficiently protected credentials in SMTP server settings in 1C-Bitrix Bitrix24 23.300.100 allows remote administrators to send SMTP account passwords to an arbitrary server via HTTP POST request.