CVE-2024-55008

Nome do Software Vulnerável e Versões Afetadas JATOS versão 3.9.4

Descrição O problema consiste em uma vulnerabilidade de negação de serviço (DoS) no sistema de autenticação. Um atacante pode impedir que usuários legítimos acessem suas contas enviando repetidamente múltiplas tentativas de login malsucedidas. Especificamente, ao realizar 3 tentativas de login incorretas por minuto, o atacante pode acionar o mecanismo de bloqueio de conta em nível de conta, bloqueando efetivamente o usuário indefinidamente. Como o bloqueio é aplicado à conta de usuário e não baseado no endereço IP, qualquer atacante pode acionar o bloqueio em qualquer conta de usuário, independentemente de seus privilégios.

Recomendações Para a versão 3.9.4 do JATOS, considere implementar limitação de taxa nas tentativas de login para evitar o abuso do sistema de autenticação. Como medida de contorno temporária, considere aumentar o número de tentativas de login malsucedidas permitidas antes que o mecanismo de bloqueio de conta seja acionado, ou implementar limitação de taxa baseada em IP para reduzir o risco de exploração. Além disso, restrinja o acesso ao sistema de autenticação para minimizar o risco de exploração. Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.