CVE-2021-32088

Quest KACE SDA: ominięcie limitu prób logowania przez usunięcie cookie

CVSS 9.8pub. 2026-07-27upd. 2026-08-03

W Quest KACE Systems Deployment Appliance (SDA) w wersji 11.0.273 możliwe jest ominięcie mechanizmu rate-limiting na wybranych punktach API poprzez usunięcie pliku cookie kboxid. Umożliwia to nieograniczone ataki brute-force na dane uwierzytelniające bez żadnej blokady.

▸ Pokaż oryginał (EN)

An issue was discovered in Quest KACE Systems Deployment Appliance (SMA) 11.0.273. Certain API endpoints contain a rate-limiting feature to minimize a brute-force attack. This protection can be bypassed by removing the kboxid cookie.

🤖 Analiza AI

Jak działa

Wybrane punkty końcowe API urządzenia SDA posiadają mechanizm ograniczania liczby żądań (rate-limiting), który ma chronić przed atakami brute-force. Mechanizm ten bazuje na identyfikacji sesji za pomocą cookie o nazwie kboxid. Osoba atakująca, usuwając ten cookie z żądań HTTP, może ominąć licznik prób i wysyłać nieograniczoną liczbę żądań uwierzytelniających, skutecznie przeprowadzając atak brute-force na dane logowania.

Skutki

Atakujący może przeprowadzić skuteczny atak brute-force na konta użytkowników, prowadząc do przejęcia kont, a w konsekwencji do uzyskania pełnego dostępu do urządzenia SDA — w tym nieautoryzowanego dostępu do danych, możliwości modyfikacji konfiguracji i eskalacji uprawnień.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się sprawdzenie dostępności aktualizacji w portalu wsparcia Quest pod adresem support.quest.com oraz zapoznanie się z artykułem KB4293505 dotyczącym odpowiedzi producenta na zgłoszone podatności.