PT-2022-21437 · Rdiffweb · Rdiffweb

Publicado 2022-10-06 · Atualizado 2022-10-10 · CVE-2022-3273

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.6

Baixa

Vetor base

AV:P/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do rdiffweb anteriores à 2.5.0a4

Descrição

O problema diz respeito à alocação de recursos sem limites ou restrições, o que pode ser explorado para ataques de força bruta com o objetivo de adivinhar senhas. Não há limite de frequência para impedir que invasores realizem várias tentativas de senha incorretas. Estima-se que isso possa afetar potencialmente um número significativo de dispositivos em todo o mundo, embora o número exato não seja especificado.

Recomendações

Para versões anteriores à 2.5.0a4, atualize para a versão 2.5.0a4 ou posterior para implementar um limite no número de tentativas de senha incorretas, impedindo ataques de força bruta.

Exploit

Correção

Allocation of Resources Without Limits

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-770

CWE-326

Identificadores relacionados

CVE-2022-3273

GHSA-9G3V-V24Q-JJ5P

PYSEC-2022-43156

Produtos afetados

Rdiffweb

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/3xxx/CVE-2022-3273.json · Exploit
• 🔥 https://huntr.dev/bounties/a6df4bad-3382-4add-8918-760d885690f6 · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/rdiffweb/PYSEC-2022-43156.yaml · Nota
• https://github.com/ikus060/rdiffweb/commit/b5e3bb0a98268d18ceead36ab9b2b7eaacd659a8 · Correção
• https://github.com/ikus060/rdiffweb · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-3273 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9g3v-v24q-jj5p · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-43156 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-3273 · Aviso do Fabricante