CVE-2024-24766mediumCWE-204

CVE-2024-24766: fallo de gravedad media en IceWhaleTech CasaOS-UserService

CasaOS Username Enumeration

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear CasaOS-UserService+ Monitorear github.com/IceWhaleTech/CasaOS-UserService

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.2epss 0.8%
En resumen

La página de login de CasaOS revela si un nombre de usuario existe o no mediante diferentes mensajes de error. Esto permite a los atacantes descubrir nombres de usuario válidos, facilitando ataques de fuerza bruta de contraseña.

Detalle técnico

Vulnerabilidad de enumeración de usuarios en CasaOS-UserService (versiones 0.4.4.3 a 0.4.6) originada por mensajes de error distintos durante intentos de autenticación (CWE-204). Un atacante puede diferenciar entre nombres de usuario inválidos y contraseñas incorrectas a través de las respuestas de la aplicación, permitiendo enumeración sistemática de usuarios sin autenticación. Corregido en versión 0.4.7.

Resumen generado y traducido por IA a partir de la descripción oficial.
CasaOS-UserService provides user management functionalities to CasaOS. Starting in version 0.4.4.3 and prior to version 0.4.7, the Casa OS Login page disclosed the username enumeration vulnerability in the login page. An attacker can enumerate the CasaOS username using the application response. If the username is incorrect application gives the error `**User does not exist**`. If the password is incorrect application gives the error `**Invalid password**`. Version 0.4.7 fixes this issue.
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
IceWhaleTech · CasaOS-UserService
CVEs relacionadas — IceWhaleTech CasaOS-UserService

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-24767CRITICALCasaOS Improper Restriction of Excessive Authentication Attempts vulnerabilityEPSS 1.0%CVE-2024-24765HIGHCasaOS-UserService allows unauthorized access to any fileEPSS 1.0%CVE-2024-28232MEDIUMUsername Enumeration in CasaOS via bypass of CVE-2024-24766EPSS 0.6%