PT-2024-36009 · Unknown · Dependency-Track

Hannes Michel · Publicado 2024-12-04 · Atualizado 2024-12-05 · CVE-2024-54002

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas:

Versões do Dependency-Track anteriores à 4.12.2

Descrição:

A vulnerabilidade permite que invasores enumerem nomes válidos de usuários gerenciados, aproveitando a diferença observável na duração da solicitação ao realizar uma solicitação de login no endpoint “/api/v1/user/login” com um nome de usuário que existe no sistema em comparação com um que não existe. Isso pode ser feito medindo o tempo que leva para processar uma solicitação de login com um nome de usuário existente em comparação com um que não existe. Usuários LDAP e OpenID Connect não são afetados.

Recomendações:

Para versões anteriores à 4.12.2, atualize para o Dependency-Track 4.12.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint “/api/v1/user/login” para minimizar o risco de exploração. Evite usar este endpoint para solicitações de login até que o problema seja resolvido.

Exploit

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2024-54002

GHSA-9W3M-HM36-W32W

Produtos afetados

Dependency-Track

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/54xxx/CVE-2024-54002.json · Exploit
• https://github.com/DependencyTrack/dependency-track/security/advisories/GHSA-9w3m-hm36-w32w · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-54002 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1864471003176239342 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1864336592602538362 · Publicação no Twitter
• https://t.me/cvedetector/12012 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-54002 · Aviso do Fabricante