revengsmk/cve-2024-10511Уязвимость Schneider Electric PowerChute Serial Shutdown.
Schneider Electric PowerChute Serial Shutdown — это программное обеспечение для управления ИБП, обеспечивающее корректное завершение работы системы и функции управления энергопотреблением для настольных компьютеров, серверов и рабочих станций.
PowerChute Serial Shutdown версии v1.2.0.301 и более ранних содержит механизм «блокировки» на 2 минуты после трёх неудачных попыток входа для предотвращения взлома пароля методом перебора. PowerChute позволяет создать только одну учётную запись, и в любой момент времени может быть активен только один сеанс входа.
Неаутентифицированный злоумышленник может многократно отправлять HTTP GET-запросы на открытый URL-адрес, заканчивающийся на /accessdenied (что увеличивает число попыток входа), вызывая постоянную блокировку учётной записи и тем самым не позволяя легитимному пользователю войти в систему.
PowerChute Serial Shutdown версии 1.3 содержит исправление этой уязвимости и доступен для загрузки здесь:
https://www.apc.com/us/en/product-range/137943580-powerchute-serial-shutdown/#software-and-firmware
https://www.se.com/us/en/download/document/SEVD-2024-345-01/
28-05-2024 - Уязвимость сообщена вендору.
21-11-2024 - Вендор выпустил исправление.
10-12-2024 - Скоординированная публикация уведомления о безопасности (SEVD).
