CVE-2025-56764 — Trivision NC-227WF

Résumé

Le mécanisme de connexion du firmware 5.80 (build 20141010) du Trivision NC-227WF révèle si un nom d'utilisateur existe ou non en renvoyant des messages d'erreur différents (« Unknown user » vs. « Wrong password »), permettant à un attaquant d'énumérer les noms d'utilisateur valides. L'enregistrement CVE référencé a été publié dans la liste CVE / NVD.

Impact

Énumération des noms d'utilisateur permettant des attaques ciblées par force brute ou par bourrage d'identifiants.
Augmente le risque d'accès non autorisé lorsqu'elle est combinée à un vol d'identifiants ou à des mots de passe faibles.

Comportement observé / Exemple

Des messages d'erreur différents sont renvoyés en fonction de la validité du nom d'utilisateur.
Exemples de réponses observées :
- "Unknown user" — le nom d'utilisateur n'existe pas.
- "Wrong password" — le nom d'utilisateur existe mais le mot de passe est incorrect.

Atténuation / Recommandations

Normaliser les messages d'erreur de connexion afin que les réponses ne révèlent pas la validité du nom d'utilisateur.
Mettre en œuvre une gestion d'authentification appropriée et rejeter les schémas d'authentification faibles là où ils ne conviennent pas.
Appliquer des politiques de limitation de débit et de verrouillage de compte.
Surveiller et auditer les tentatives d'authentification ; renouveler les identifiants compromis.

Références

권고문

Trivision NC-227WF 펌웨어 5.80 (build 20141010)의 로그인 처리에서 사용자명 존재 여부에 따라 서로 다른 오류 메시지를 반환합니다("Unknown user" vs "Wrong password"). 이로 인해 공격자는 유효한 사용자명을 열거할 수 있습니다. 관련 CVE 레코드는 NVD에 게시되었습니다.

영향

사용자명 노출로 인한 무차별 대입 공격 및 크리덴셜 스터핑 가능성 증가.
노출된 사용자명 + 약한 비밀번호 조합 시 무단 접근 위험 증대.

관찰된 동작 / 예시

사용자명 존재 여부에 따라 반환되는 오류 메시지가 다름:
- Unknown user — 계정 없음
- Wrong password — 계정 존재, 비밀번호 불일치

완화 권고

로그인 오류 메시지를 통일하여 사용자명 유효성 노출을 막을 것.
인증 처리 로직을 점검하여 불필요한 약한 인증 방식 허용을 차단할 것.
로그인 시도에 대한 속도 제한 및 계정 잠금 정책 적용.
인증 로그 모니터링 및 의심스러운 시도에 대한 조치, 자격증명 교체.

CVE-2025-56764

Populaires