Pterodactyl to darmowy, open-source'owy panel zarządzania serwerami gier. Wersje 1.11.11 i starsze pozwalają na wielokrotne użycie TOTP w okresie jego ważności. Użytkownicy z włączoną 2FA są proszeni o wprowadzenie tokena podczas logowania, ale nie jest on wystarczająco oznaczony jako wykorzystany w systemie. Umożliwia to atakującemu, który przechwycił token, jego ponowne użycie wraz ze znaną nazwą użytkownika i hasłem w 60-sekundowym oknie ważności tokena. Atakujący musi przechwycić ważny token 2FA (na przykład podczas udostępniania ekranu). Problem został naprawiony w wersji 1.12.0.
▸ Pokaż oryginał (EN)
Pterodactyl is a free, open-source game server management panel. Versions 1.11.11 and below allow TOTP to be used multiple times during its validity window. Users with 2FA enabled are prompted to enter a token during sign-in, and afterward it is not sufficiently marked as used in the system. This allows an attacker who intercepts that token to use it in addition to a known username/password during the 60-second token validity window. The attacker must have intercepted a valid 2FA token (for example, during a screen share). This issue is fixed in version 1.12.0.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NPterodactyl Panel
APPPterodactyl< 1.12.0
Powiązane podatności
Brak autoryzacji w Pterodactyl Wings — dostęp do danych serwerów innych węzłów
Pterodactyl is a free, open-source game server management panel. Versions 1.11.11 and below do not revoke acti...
Pterodactyl is an open-source game server management panel built with PHP 7, React, and Go. A malicious user c...
Pterodactyl before 0.7.14 with 2FA allows credential sniffing.
Pterodactyl to bezpłatny, otwartoźródłowy panel zarządzania serwerami gier. Aplikacja implementuje limity szyb...