CVE-2022-43959

Bitrix भेद्यता CVE-2022-43959

विवरण

1C-Bitrix Bitrix24 AD/LDAP कनेक्टर मॉड्यूल के संस्करण 23.100.0 से पहले AD/LDAP सर्वर सेटिंग्स में अपर्याप्त रूप से संरक्षित क्रेडेंशियल्स दूरस्थ प्रशासकों को /bitrix/admin/ldap_server_edit.php के स्रोत कोड को पढ़कर AD/LDAP व्यवस्थापकीय पासवर्ड खोजने की अनुमति देते हैं।

CVSS

पुनरुत्पादन के चरण:

1. Bitrix24 प्रशासनिक पैनल तक पहुंच प्राप्त करें।
2. प्रशासन अनुभाग में AD/LDAP सेटिंग्स आइटम पर जाएं।
3. सर्वरों की सूची से AD/LDAP सर्वर सेटिंग्स दर्ज करें।
4. सर्वर टैब पर जाएं।
5. सुनिश्चित करें कि AD/LDAP सर्वर ट्री पढ़ने के अधिकार वाले उपयोगकर्ता का पासवर्ड “पासवर्ड” पंक्ति में मास्क किया गया है।

6. bitrix/admin/ldap_server_edit.php पृष्ठ का स्रोत कोड देखने के लिए ब्राउज़र डेवलपर टूल का उपयोग करें।
7. सुनिश्चित करें कि AD/LDAP सर्वर ट्री पढ़ने के अधिकार वाले उपयोगकर्ता का पासवर्ड स्रोत कोड में स्पष्ट पाठ में प्रदर्शित होता है।

संदर्भ

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-43959

https://www.bitrix24.com/prices/self-hosted.php

https://www.bitrix24.com/security/

https://www.bitrix24.com/features/box/box-versions.php?module=ldap

लेखक

Sergey Avdeev, Dmitry Lymbin (@lymbin) Secware में