CVE-2024-34887
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W systemie 1C-Bitrix Bitrix24 23.300.100 w ustawieniach serwera AD/LDAP wykryto niewystarczającą ochronę poświadczeń. Zdalny administrator może wysłać hasła kont administratorów AD/LDAP na dowolny serwer za pomocą żądania HTTP POST.
Ocena ryzyka
Ryzyko polega na możliwości przechwycenia haseł administratorów AD/LDAP przez atakującego, co może prowadzić do nieautoryzowanego dostępu do całej infrastruktury katalogowej organizacji.
Rekomendacja
Należy natychmiast zaktualizować system 1C-Bitrix Bitrix24 do najnowszej wersji, która usuwa tę podatność. Dodatkowo zaleca się ograniczenie dostępu do ustawień AD/LDAP tylko dla zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
Insufficiently protected credentials in AD/LDAP server settings in 1C-Bitrix Bitrix24 23.300.100 allows remote administrators to send AD/LDAP administrators account passwords to an arbitrary server via HTTP POST request.