Weak password hashes for Redfish & API
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
AMI Megarac utiliza funciones de hash débiles para almacenar contraseñas en sus interfaces Redfish y API, haciendo que las contraseñas sean vulnerables si un atacante obtiene acceso a la base de datos. Esto es importante porque los hashes débiles pueden ser descifrados rápidamente, comprometiendo cuentas de usuario.
La vulnerabilidad proviene del uso de algoritmos de hash criptográfico insuficientes (CWE-916) para el almacenamiento de contraseñas en Redfish y API de AMI Megarac. Si un atacante obtiene la base de datos de hashes por otros medios (acceso a archivos de configuración o base de datos), los hashes débiles pueden ser rápidamente revertidos mediante ataques de diccionario o fuerza bruta, resultando en compromiso de cuentas y potencial escalada de privilegios.