CVE-2024-10511

CWE-287: Unzureichende Authentifizierung

Zusammenfassung

Schneider Electric PowerChute Serial Shutdown ist eine USV-Management-Software, die ein ordnungsgemäßes Herunterfahren des Systems und Energiemanagement-Funktionen für Desktops, Server und Workstations ermöglicht.

PowerChute Serial Shutdown v1.2.0.301 und früher enthält einen Mechanismus, der nach drei fehlgeschlagenen Anmeldeversuchen für 2 Minuten sperrt, um Brute-Force-Passwortknacken zu verhindern. PowerChute erlaubt nur die Erstellung eines Kontos und eine aktive Anmeldesitzung zu einem Zeitpunkt.

Ein nicht authentifizierter Angreifer kann wiederholt HTTP-GET-Anfragen an die exponierte URL senden, die auf /accessdenied endet (wodurch die Anzahl der Anmeldeversuche erhöht wird), was zu einer dauerhaften Kontosperrung führt und somit einen legitimen Benutzer am Anmelden hindert.

Behebung

PowerChute Serial Shutdown Version 1.3 enthält einen Fix für diese Sicherheitslücke und ist hier zum Download verfügbar:

https://www.apc.com/us/en/product-range/137943580-powerchute-serial-shutdown/#software-and-firmware

Referenzen

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2024-345-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2024-345-01.pdf