fabdotnet/cve-2023-27100
يحاول نظام المصادقة أن يكون إعلاميًا ويطبع معلومات إضافية إلى جانب عناوين IP لتحديد المكان الذي يسجّل منه المستخدم دخوله بشكل كامل عند استخدامه للواجهة الرسومية (GUI). يتضمن ذلك مصدر المصادقة (مثل قاعدة البيانات المحلية، أو LDAP أو RADIUS، أو اسم خادم المصادقة)، بالإضافة إلى محتويات ترويسات البروكسي X-Forwarded-For وClient-IP لتوضيح الموقع الدقيق للمستخدم بشكل أكبر.
تُطبَع هذه المعلومات الإضافية بعد عنوان IP الخاص بالمستخدم البعيد في أماكن مختلفة، بما في ذلك رسائل سجلات المصادقة. في حالة فشل تسجيل الدخول عبر الواجهة الرسومية، تضمّنت إدخالات السجل محتويات ترويسات البروكسي (X-Forwarded-For أو Client-IP) التي أرسلها العميل.
أربكت هذه المعلومات الإضافية محلّل سجلات مصادقة sshguard، مما جعله يفشل في التعرّف على عنوان IP الخاص بالعميل في رسائل أخطاء المصادقة.
إن pfSense (انظر الإصدارات ذات الصلة أعلاه) معرّض لتجاوز آلية مكافحة القوة الغاشمة الموضوعة لحظر المستخدمين الذين بلغوا الحد الأقصى لمحاولات المصادقة الفاشلة. يسهّل الكود المتاح في هذا المستودع استغلال هذه الثغرة باستخدام ترويسة "X-Forwarded-For" ورمز "anti-csrf".
