PT-2026-78507
CVE-2026-44255
·
تاريخ النشر
2026-08-19
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Wazuh من 4.0.0 إلى 4.14.5
إصدارات Wazuh 5.0.0-beta1 والإصدارات الأقدم
الوصف
لا تقوم الدالة
check user() الموجودة داخل AuthenticationManager في framework/wazuh/rbac/orm.py بتنفيذ الدالة check password hash() إلا إذا كان اسم المستخدم المقدم موجودًا. ونظرًا لأن اسم المستخدم غير الموجود يؤدي إلى العودة الفورية، في حين أن اسم المستخدم الصحيح يؤدي إلى إجراء عملية حسابية مكلفة باستخدام خوارزمية bcrypt، يمكن لمهاجم بعيد غير مصدق عليه استخدام تحليل توقيت استجابات المصادقة لتعداد أسماء المستخدمين الصحيحة. ويمكن بعد ذلك الاستفادة من هذه المعلومات في شن هجمات لاحقة على بيانات الاعتماد.التوصيات
التحديث إلى الإصدار 4.14.6.
التحديث إلى الإصدار 5.0.0-beta2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾