CVE-2018-15759

Pivotal Cloud Foundry On Demand Services SDK — podatność na brute-force uwierzytelnienia

CVSS 9.1v3.0pub. 2018-11-19upd. 2024-11-21

Pivotal Cloud Foundry On Demand Services SDK w wersjach wcześniejszych niż 0.24 stosuje niebezpieczną metodę weryfikacji poświadczeń, co umożliwia ich odgadnięcie przez nieuprawnionego atakującego. Brak skutecznego mechanizmu ograniczającego liczbę prób logowania pozwala na przeprowadzenie ataku siłowego i uzyskanie dostępu do operacji brokera usług.

▸ Pokaż oryginał (EN)

Pivotal Cloud Foundry On Demand Services SDK, versions prior to 0.24 contain an insecure method of verifying credentials. A remote unauthenticated malicious user may make many requests to the service broker with different credentials, allowing them to infer valid credentials and gain access to perform broker operations.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiednich mechanizmów ochrony przed wielokrotnym podawaniem nieprawidłowych poświadczeń (CWE-307 — improper restriction of excessive authentication attempts). Zdalny, nieuwierzytelniony atakujący może wysyłać dużą liczbę żądań do service brokera, za każdym razem testując inne kombinacje danych logowania. Na podstawie odpowiedzi systemu możliwe jest wnioskowanie o poprawności poszczególnych poświadczeń, co efektywnie pozwala na ich odgadnięcie.

Skutki

Atakujący, który odgadnie prawidłowe poświadczenia, uzyskuje nieautoryzowany dostęp do operacji brokera usług, co może prowadzić do nieuprawnionego odczytu oraz modyfikacji zasobów zarządzanych przez broker.

Mitygacja

Należy zaktualizować Pivotal Cloud Foundry On Demand Services SDK do wersji 0.24 lub nowszej. Szczegółowe informacje dostępne są w komunikacie bezpieczeństwa producenta pod adresem https://pivotal.io/security/cve-2018-15759.