CVE-2023-37756

Słabe wymagania hasła w I-doit pro/open 25 umożliwiają atak brute-force

CVSS 9.8v3.1pub. 2023-09-14upd. 2024-11-21

I-doit pro 25 i niższe oraz I-doit open 25 i niższe stosują zbyt słabe wymagania dotyczące hasła podczas tworzenia konta Administratora. Podatność umożliwia atakującemu łatwe odgadnięcie hasła metodą brute-force, co w konsekwencji może prowadzić do pełnego przejęcia systemu włącznie z wykonaniem zdalnego kodu (RCE).

▸ Pokaż oryginał (EN)

I-doit pro 25 and below and I-doit open 25 and below employ weak password requirements for Administrator account creation. Attackers are able to easily guess users' passwords via a bruteforce attack.

🤖 Analiza AI

Jak działa

Aplikacja nie wymusza odpowiedniej złożoności hasła przy tworzeniu konta administratora (CWE-521 — Weak Password Requirements), co pozwala użytkownikom ustawiać trywialne lub krótkie hasła. Atakujący może przeprowadzić atak brute-force na panel logowania i uzyskać dostęp do konta administracyjnego. Według dostępnych referencji, po uzyskaniu dostępu administratora możliwe jest przesłanie złośliwego pluginu (add-on upload), co prowadzi do wykonania dowolnego kodu na serwerze (RCE).

Skutki

Atakujący może przejąć pełną kontrolę nad kontem administratora, a następnie doprowadzić do wykonania zdalnego kodu (RCE) poprzez upload złośliwego pluginu — skutkując utratą poufności, integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wymuszenie stosowania silnych haseł dla wszystkich kont administracyjnych, wdrożenie mechanizmów blokowania konta po wielokrotnych nieudanych próbach logowania oraz ograniczenie dostępu do panelu administracyjnego na poziomie sieciowym (firewall, VPN).

Kogo dotyczy

I-doit pro w wersji 25 i niższych oraz I-doit open w wersji 25 i niższych.

Uwagi

Według publicznych referencji (GitHub, Medium) podatność na słabe hasło może być wykorzystana jako pierwszy etap ataku łańcuchowego prowadzącego do RCE poprzez upload złośliwego pluginu w panelu administracyjnym. Referencje zawierają publiczne demonstracje exploitacji.