PT-2020-16946 · Bitrix · Bitrix24 Bitrix Framework

Publicado 2020-12-02 · Atualizado 2020-12-04 · CVE-2020-28206

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Bitrix24 Bitrix Framework (gestão de sites 1c) versão 20.0

Descrição

Existe uma falha no formulário de login de administrador que permite a um usuário remoto enumerar os usuários do grupo de administradores. Isso também possibilita ataques de força bruta às senhas de usuários que não fazem parte do grupo de administradores.

Recomendações

Para a versão 20.0, considere restringir o acesso ao formulário de login de administrador para minimizar o risco de exploração. Como solução temporária, considere implementar medidas de autenticação adicionais, como limitação de taxa ou bloqueio de IP, para impedir ataques de força bruta.

Exploit

Correção

Improper Restriction of Excessive Authentication Attempts

Enumeração de Fraquezas

CWE-307

Identificadores relacionados

CVE-2020-28206

Produtos afetados

Bitrix24 Bitrix Framework

Referências · 5

• 🔥 https://justrealstag.medium.com/user-enumeration-improper-restriction-of-excessive-authentication-attempts-in-bitrix-98933a97e0e6 · Exploit
• https://osv.dev/vulnerability/CVE-2020-28206 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-28206 · Nota de Segurança
• https://t.me/cibsecurity/17057 · Publicação no Telegram
• https://t.me/cvenotify/6495 · Publicação no Telegram