PT-2024-35447 · Unknown · Password Pusher
CVE-2024-52796
·
Publicado
2024-10-14
·
Atualizado
2024-11-21
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Password Pusher anteriores à v1.49.0
Descrição
O problema está relacionado ao limitador de taxa do Password Pusher, que pode ser contornado através da falsificação de cabeçalhos de proxy, permitindo que agentes mal-intencionados enviem tráfego ilimitado ao site e causem potencialmente uma negação de serviço. Isso também permite que os invasores executem ataques de força bruta com maior facilidade.
Recomendações
Para versões anteriores à v1.49.0, atualize para pelo menos a v1.49.0 para mitigar esse risco.
Como solução temporária, adicione regras ao seu proxy e/ou firewall para não aceitar cabeçalhos de proxy externos, como
X-Forwarded-*, de clientes.Se você estiver executando um proxy remoto, autorize o endereço IP do seu proxy remoto de acordo com a documentação.
Exploit
Correção
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Password Pusher