CVE-2002-2119

Novell eDirectory — brak rozróżniania wielkości liter w hasłach

CVSS 9.8v3.1pub. 2002-12-31upd. 2026-04-16

Novell eDirectory 8.6.2 i 8.7 obsługuje hasła w sposób niewrażliwy na wielkość liter (case insensitive), co znacząco zmniejsza przestrzeń kluczy i ułatwia atakującym zdalne przeprowadzenie ataku brute force. Jest to poważna podatność, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Novell eDirectory 8.6.2 and 8.7 use case insensitive passwords, which makes it easier for remote attackers to conduct brute force password guessing.

🤖 Analiza AI

Jak działa

W systemach Novell eDirectory 8.6.2 i 8.7 mechanizm weryfikacji haseł traktuje duże i małe litery jako równoważne (CWE-178 — Improper Case Sensitivity Handling). Oznacza to, że hasło 'Password123' jest akceptowane tak samo jak 'PASSWORD123', 'password123' czy dowolna inna kombinacja wielkości liter. Skutkuje to drastycznym zmniejszeniem liczby unikalnych kombinacji do przetestowania podczas ataku brute force, co czyni łamanie haseł znacznie szybszym i bardziej efektywnym dla zdalnego atakującego.

Skutki

Atakujący może zdalnie, bez uprzedniego uwierzytelnienia, skuteczniej przeprowadzić atak brute force na konta użytkowników, co może prowadzić do przejęcia kontroli nad kontami w katalogu, a w konsekwencji do uzyskania nieautoryzowanego dostępu do zasobów zarządzanych przez eDirectory.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wymuszenie stosowania silnych, długich haseł oraz wdrożenie mechanizmów blokowania kont po określonej liczbie nieudanych prób logowania, co ograniczy skuteczność ataków brute force.

Kogo dotyczy

Novell eDirectory w wersjach 8.6.2 oraz 8.7.

Uwagi

Podatność została zgłoszona publicznie w maju 2002 roku za pośrednictwem listy Bugtraq (archiwum neohapsis.com). Mimo wysokiego wyniku CVSS 9.8, podatność nie figuruje w katalogu CISA KEV.