PT-2025-7545
CVE-2025-24806
·
تاريخ النشر
2025-02-19
·
تاريخ التحديث
2025-03-13
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Authelia الأقدم من 4.38.19
الإصدار 4.39.0 من Authelia
الوصف
Authelia هو خادم مفتوح المصدر للمصادقة والتفويض يوفر المصادقة الثنائية وتسجيل الدخول الأحادي (SSO) للتطبيقات عبر بوابة ويب. إذا كان المستخدمون مخولين بتسجيل الدخول باستخدام اسم المستخدم والبريد الإلكتروني، فإن نظام التحكم في الوصول يعامل هذين العنصرين كحدثين منفصلين لتسجيل الدخول. ويؤدي ذلك إلى مضاعفة حدود التحكم فعليًّا، بافتراض أن المهاجم يستخدم هجوم القوة الغاشمة لاكتشاف كلمة مرور أحد المستخدمين. ونظرًا للطريقة الفعالة التي تعمل بها آلية التحكم، حيث لا توجد أي دلالة مرئية للمستخدم تشير إلى حظره بسبب هذه الآلية، سواء من خلال زمن الاستجابة أو ردود واجهة برمجة التطبيقات (API)، فإنه من المستحيل فعليًّا تحديد ما إذا كان الفشل ناتجًا عن إدخال اسم مستخدم وكلمة مرور غير صحيحين أم عن حظر فعلي يمنع المحاولة، مما يقلل بشكل كبير من أي شكل من أشكال هجمات القوة الغاشمة. وهذا له تأثير ضئيل على أمان الحساب، وهو تأثير يزداد بطبيعة الحال في السيناريوهات التي لا تكون فيها المصادقة الثنائية إلزامية وتُستخدم كلمات مرور ضعيفة، مما يجعل اكتشاف كلمة المرور عن طريق الهجوم بالقوة الغاشمة أسهل قليلاً.
التوصيات
بالنسبة لإصدارات Authelia الأقدم من 4.38.19، قم بالتحديث إلى الإصدار 4.38.19 أو أحدث.
بالنسبة للإصدار 4.39.0 من Authelia، لا يلزم اتخاذ أي إجراء إضافي، حيث إن هذا الإصدار يتضمن التصحيح بالفعل.
بالنسبة للمستخدمين
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾