SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2024-5617

ŚrednieCVSS 4.8
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Streszczenie

Funkcja blokady konta nie egzekwuje poprawnie blokad w głównym magazynie użytkowników, gdy użytkownicy o identycznych nazwach istnieją zarówno w magazynie głównym, jak i dodatkowym. Warunek blokady jest stosowany tylko do konta w magazynie dodatkowym, co pozwala na dalsze próby uwierzytelniania wobec konta w magazynie głównym. Luka umożliwia ataki siłowe.

Ocena ryzyka

Atakujący może systematycznie zgadywać hasła do konta w głównym magazynie, co może prowadzić do nieautoryzowanego dostępu do wrażliwych informacji lub kont.

Rekomendacja

Należy wdrożyć poprawkę producenta przywracającą prawidłowe egzekwowanie blokady konta w obu magazynach oraz rozważyć dodatkowe mechanizmy ograniczania prób logowania.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The account lock feature fails to correctly enforce account lockouts on the primary user store when users with identical usernames exist in both primary and secondary user stores. This occurs because the lock condition is only applied to the secondary user store account in such scenarios, allowing continued authentication attempts against the primary user store account. This functional flaw enables brute force attacks. By systematically attempting different passwords against the primary user store account, an attacker can potentially gain unauthorized access to sensitive information or accounts, as the intended account lockout mechanism does not prevent repeated login attempts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS