CVE-2025-56764 — Trivision NC-227WF

Sommario

Il firmware Trivision NC-227WF versione 5.80 (build 20141010) rivela, tramite i messaggi di errore restituiti durante il login, se un nome utente esiste o meno (messaggi diversi: "Unknown user" vs. "Wrong password"), consentendo a un aggressore di enumerare gli utenti validi. Il record CVE di riferimento è stato pubblicato nell'elenco CVE / NVD.

Impatto

• Enumerazione degli utenti che facilita attacchi mirati di forza bruta o di credential stuffing.
• Aumenta il rischio di accesso non autorizzato se combinato con furto di credenziali o password deboli.

Comportamento osservato / Esempio

• Vengono restituiti messaggi di errore diversi in base alla validità del nome utente.
• Risposte osservate:
  • "Unknown user" — l'utente non esiste.
  • "Wrong password" — l'utente esiste ma la password è errata.

Mitigazione / Raccomandazioni

1. Normalizzare i messaggi di errore di login in modo che le risposte non rivelino la validità del nome utente.
2. Implementare una corretta gestione dell'autenticazione e rifiutare schemi di autenticazione deboli dove inappropriati.
3. Applicare limiti di frequenza e politiche di blocco degli account.
4. Monitorare e verificare i tentativi di autenticazione; ruotare le credenziali compromesse.

Riferimenti

• Voce NVD
• Voce CVE.org

---

Avviso

Il firmware Trivision NC-227WF versione 5.80 (build 20141010) restituisce messaggi di errore diversi ("Unknown user" vs "Wrong password") a seconda dell'esistenza del nome utente durante il login. Ciò consente a un aggressore di enumerare gli utenti validi. Il record CVE associato è stato pubblicato su NVD.

Impatto

• Esposizione dei nomi utente che aumenta la possibilità di attacchi di forza bruta e credential stuffing.
• Aumento del rischio di accesso non autorizzato in caso di combinazione di nomi utente esposti e password deboli.

Comportamento osservato / Esempio

• I messaggi di errore restituiti variano in base all'esistenza del nome utente:
  • Unknown user — account non esistente
  • Wrong password — account esistente, password errata

Raccomandazioni per la mitigazione

1. Uniformare i messaggi di errore di login per evitare di rivelare la validità del nome utente.
2. Verificare la logica di autenticazione e bloccare l'uso di metodi di autenticazione deboli non necessari.
3. Applicare limiti di velocità e politiche di blocco degli account.
4. Monitorare i log di autenticazione e intervenire in caso di tentativi sospetti; ruotare le credenziali.

Riferimenti

• Informazioni NVD
• Informazioni CVE.org