CVE-2024-10511

CWE-287：身份验证不当

摘要

Schneider Electric PowerChute Serial Shutdown 是一款UPS管理软件，可实现桌面、服务器和工作站的优雅系统关机和能源管理功能。

PowerChute Serial Shutdown v1.2.0.301及更早版本 包含一种机制，在三次登录失败后“锁定”2分钟，以防止暴力破解密码。PowerChute 一次只允许创建一个账户并激活一个登录会话。

未经身份验证的攻击者可以重复执行HTTP GET请求，访问以 /accessdenied 结尾的公开URL（这会增加登录尝试次数），导致账户持续锁定，从而阻止合法用户登录。

修复措施

PowerChute Serial Shutdown 版本1.3包含此漏洞的修复程序，可在此下载：

https://www.apc.com/us/en/product-range/137943580-powerchute-serial-shutdown/#software-and-firmware

参考资料

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2024-345-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2024-345-01.pdf

https://www.se.com/us/en/download/document/SEVD-2024-345-01/

时间线

2024-05-28 - 向供应商报告漏洞。
2024-11-21 - 供应商发布了补丁。
2024-12-10 - 协同公开发布安全通知 (SEVD)。