CVE-2018-1000884

Vesta CP: ujawnienie kodu reset hasła przez timing attack

CVSS 9.8v3.0pub. 2018-12-20upd. 2024-11-21

Vesta Control Panel przed wersją 0.9.8-19 zawiera podatność typu timing discrepancy w mechanizmie resetowania hasła, umożliwiającą nieuwierzytelnionemu atakującemu odgadnięcie kodu reset hasła. Skutkiem jest możliwość przejęcia konta administratora.

▸ Pokaż oryginał (EN)

Vesta CP version Prior to commit f6f6f9cfbbf2979e301956d1c6ab5c44386822c0 -- any release prior to 0.9.8-18 contains a CWE-208 / Information Exposure Through Timing Discrepancy vulnerability in Password reset code -- web/reset/index.php, line 51 that can result in Possible to determine password reset codes, attacker is able to change administrator password. This attack appear to be exploitable via Unauthenticated network connectivity. This vulnerability appears to have been fixed in After commit f6f6f9cfbbf2979e301956d1c6ab5c44386822c0 -- release version 0.9.8-19.

🤖 Analiza AI

Jak działa

Podatność dotyczy pliku web/reset/index.php (linia 51), gdzie porównanie kodu resetowania hasła jest podatne na atak czasowy (timing attack). Analizując różnice w czasie odpowiedzi serwera, atakujący może metodycznie ustalić prawidłowy kod resetowania hasła znak po znaku. Nie jest wymagane żadne uwierzytelnienie — atak jest przeprowadzany wyłącznie przez sieć.

Skutki

Atakujący może odgadnąć kod resetowania hasła i zmienić hasło administratora panelu Vesta CP, przejmując pełną kontrolę nad serwerem zarządzanym przez ten panel.

Mitygacja

Należy zaktualizować Vesta Control Panel do wersji 0.9.8-19 lub nowszej, zawierającej poprawkę wprowadzoną w commicie f6f6f9cfbbf2979e301956d1c6ab5c44386822c0. Patch dostępny w repozytorium producenta na GitHub.

Kogo dotyczy

Vesta Control Panel we wszystkich wersjach przed 0.9.8-19 (przed commitem f6f6f9cfbbf2979e301956d1c6ab5c44386822c0)

Uwagi

Mimo że CVSS wynosi 9.8 (CRITICAL), podatność nie figuruje w katalogu CISA KEV. CWE w opisie oryginalnym wskazuje zarówno CWE-208 (Information Exposure Through Timing Discrepancy), jak i ogólne CWE-203 — obie dotyczą ataków czasowych na porównania danych wrażliwych.