CVE-2024-10511

CWE-287: अनुचित प्रमाणीकरण

सारांश

Schneider Electric PowerChute Serial Shutdown उत्पाद एक UPS प्रबंधन सॉफ़्टवेयर है जो डेस्कटॉप, सर्वर और वर्कस्टेशन के लिए सुगम सिस्टम शटडाउन और ऊर्जा प्रबंधन क्षमताएँ सक्षम करता है।

PowerChute Serial Shutdown v1.2.0.301 और उससे पहले के संस्करण में तीन असफल लॉगिन प्रयासों के बाद 2 मिनट के लिए "लॉक आउट" करने की एक प्रक्रिया है ताकि ब्रूट फोर्स पासवर्ड क्रैकिंग को रोका जा सके। PowerChute एक समय में केवल एक खाता बनाने और एक लॉगिन सत्र सक्रिय रखने की अनुमति देता है।

एक अप्रमाणित हमलावर /accessdenied पर समाप्त होने वाले उजागर URL पर बार-बार HTTP GET अनुरोध कर सकता है (जो लॉगिन प्रयासों की संख्या बढ़ाता है), जिससे लगातार खाता लॉक आउट होता है, और इस प्रकार वैध उपयोगकर्ता को लॉगिन करने से रोका जाता है।

उपचार

PowerChute Serial Shutdown संस्करण 1.3 में इस कमजोरी के लिए एक सुधार शामिल है और इसे यहाँ से डाउनलोड किया जा सकता है:

https://www.apc.com/us/en/product-range/137943580-powerchute-serial-shutdown/#software-and-firmware

संदर्भ

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2024-345-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2024-345-01.pdf

https://www.se.com/us/en/download/document/SEVD-2024-345-01/

समयरेखा

28-05-2024 - कमजोरी की सूचना विक्रेता को दी गई।
21-11-2024 - विक्रेता ने पैच जारी किया।
10-12-2024 - सुरक्षा सूचना (SEVD) का समन्वित सार्वजनिक विमोचन।