CVE-2024-34887
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W systemie 1C-Bitrix Bitrix24 23.300.100 w ustawieniach serwera AD/LDAP wykryto niewystarczającą ochronę poświadczeń. Zdalny administrator może wysłać hasła kont administratorów AD/LDAP na dowolny serwer za pomocą żądania HTTP POST.
Ocena ryzyka
Ryzyko polega na możliwości przechwycenia haseł administratorów AD/LDAP przez atakującego, co może prowadzić do nieautoryzowanego dostępu do całej infrastruktury katalogowej organizacji.
Rekomendacja
Należy natychmiast zaktualizować system 1C-Bitrix Bitrix24 do najnowszej wersji, która usuwa tę podatność. Dodatkowo zaleca się ograniczenie dostępu do ustawień AD/LDAP tylko dla zaufanych administratorów.
Inne podatności w 1C-Bitrix Bitrix24
Zobacz wszystkie- CVE-2024-34891Średnie
W systemie 1C-Bitrix Bitrix24 w wersji 23.300.100 wykryto podatność polegającą na niewystarczającej ochronie poświadczeń w ustawieniach serwera DAV. Zdalny administrator może odczytać hasła kont Exchange za pomocą żądania HTTP GET.
- CVE-2024-34885Średnie
W systemie 1C-Bitrix Bitrix24 w wersji 23.300.100 wykryto podatność polegającą na niewystarczającej ochronie poświadczeń w ustawieniach serwera SMTP. Zdalny administrator może odczytać hasła kont SMTP poprzez wysłanie żądania HTTP GET.
- CVE-2024-34883Średnie
W systemie 1C-Bitrix Bitrix24 w wersji 23.300.100 wykryto podatność polegającą na niewystarczającej ochronie poświadczeń w ustawieniach serwera DAV. Zdalny administrator może odczytać hasła kont serwera proxy poprzez żądanie HTTP GET.
- CVE-2024-34882Średnie
W systemie 1C-Bitrix Bitrix24 w wersji 23.300.100 wykryto podatność polegającą na niewystarczającej ochronie poświadczeń w ustawieniach serwera SMTP. Zdalny administrator może wysłać hasła kont SMTP na dowolny serwer za pomocą żądania HTTP POST.
Oryginalny opis (angielski, źródło NVD)
Insufficiently protected credentials in AD/LDAP server settings in 1C-Bitrix Bitrix24 23.300.100 allows remote administrators to send AD/LDAP administrators account passwords to an arbitrary server via HTTP POST request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS