revengsmk/cve-2024-10511Vulnérabilité de Schneider Electric PowerChute Serial Shutdown.
Le produit PowerChute Serial Shutdown de Schneider Electric est un logiciel de gestion d'onduleur (UPS) permettant un arrêt propre du système et des capacités de gestion de l'énergie pour les ordinateurs de bureau, les serveurs et les stations de travail.
PowerChute Serial Shutdown v1.2.0.301 et versions antérieures contient un mécanisme de « verrouillage » pendant 2 minutes après trois tentatives de connexion infructueuses afin d'empêcher le cassage de mot de passe par force brute. PowerChute permet uniquement la création d'un seul compte et une seule session de connexion active à la fois.
Un attaquant non authentifié peut envoyer de manière répétée des requêtes HTTP GET vers l'URL exposée se terminant par /accessdenied (ce qui incrémente le nombre de tentatives de connexion), provoquant un verrouillage constant du compte, empêchant ainsi les utilisateurs légitimes de se connecter.
PowerChute Serial Shutdown version 1.3 inclut un correctif pour cette vulnérabilité et est disponible en téléchargement ici :
https://www.apc.com/us/en/product-range/137943580-powerchute-serial-shutdown/#software-and-firmware
https://www.se.com/us/en/download/document/SEVD-2024-345-01/
28-05-2024 - Vulnérabilité signalée au fournisseur.
21-11-2024 - Le fournisseur a publié un correctif.
10-12-2024 - Publication publique coordonnée de l'avis de sécurité (SEVD).
