CVE-2023-29974

pfSense CE 2.6.0 — przejęcie kont przez słabą politykę haseł

CVSS 9.8v3.1pub. 2023-11-08upd. 2024-11-21

pfSense CE w wersji 2.6.0 dopuszcza stosowanie słabych haseł użytkowników, co umożliwia atakującym przejęcie kont. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), ponieważ jest dostępna zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

An issue discovered in Pfsense CE version 2.6.0 allows attackers to compromise user accounts via weak password requirements.

🤖 Analiza AI

Jak działa

System nie egzekwuje wystarczająco restrykcyjnej polityki haseł (CWE-521), co pozwala na ustawianie trywialnych lub krótkich haseł dla kont użytkowników. Atakujący może przeprowadzić atak słownikowy lub brute-force na interfejs logowania pfSense, skutecznie odgadując hasła słabo chronionych kont. Brak wymuszenia minimalnej złożoności haseł znacząco obniża próg wejścia dla potencjalnego atakującego.

Skutki

Atakujący może przejąć konto użytkownika lub administratora pfSense, uzyskując pełną kontrolę nad panelem zarządzania firewallem, co prowadzi do naruszenia poufności, integralności oraz dostępności chronionej infrastruktury sieciowej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo rekomenduje się natychmiastową zmianę wszystkich haseł kont pfSense na silne, unikalne hasła oraz włączenie uwierzytelniania wieloskładnikowego tam, gdzie jest to możliwe. Dostęp do interfejsu administracyjnego powinien być ograniczony wyłącznie do zaufanych adresów IP.

Kogo dotyczy

pfSense CE w wersji 2.6.0

Uwagi

Podatność została opisana i opublikowana przez esecforte.com. Mimo oceny CRITICAL wynikającej z wektora CVSS (dostęp sieciowy, brak wymagań uwierzytelnienia), rzeczywiste ryzyko zależy od tego, czy interfejs zarządzania pfSense jest eksponowany publicznie w sieci.