Fallos del tipo CWE-645

7 resultados

Mecanismo de bloqueio de conta excessivamente restritivo

A aplicação bloqueia uma conta após um número pequeno de tentativas falhadas de autenticação, sem permitir desbloqueio automático ou resgate fácil. Isso abre brecha para ataque de negação de serviço (DoS): um atacante faz múltiplas tentativas erradas deliberadamente para trancar contas legítimas, prejudicando a disponibilidade do sistema.

Ejemplo

Um app bloqueia a conta após 3 falhas de login e exige contato manual com suporte para desbloquear, sem timeout automático. Um atacante enumera usuários conhecidos e faz requisições com senhas aleatórias, deixando todos indisponíveis até intervenção manual.

Cómo mitigar

Implemente desbloqueio automático após período fixo (ex: 15-30 minutos), ofereça auto-resgate via email de confirmação, ou use escalação gradual de delays entre tentativas em vez de bloqueio imediato. Valide a severidade da restrição contra o risco real de força bruta na sua arquitetura.

CVE-2023-4346HIGH KNX devices that use KNX Connection Authorization and support Option 1 are, depending on the implementation, vulnerable to being locked andEPSS 0.9%KEV CVE-2024-1722LOWKeycloak-core: dos via account lockoutEPSS 0.8%CVE-2024-37028MEDIUMBIG-IP Next Central Manager vulnerabilityEPSS 0.4%CVE-2025-5241MEDIUMDenial-of-Service Vulnerability in MELSEC iQ-F SeriesEPSS 0.4%CVE-2026-53982HIGHCap-go Console < 12.28.2 Account Deletion DoS via Device Identifier AssociationEPSS 0.3%CVE-2025-31947MEDIUMRepeated LDAP login failures can lock an LDAP accountEPSS 0.3%CVE-2026-25907MEDIUMDell PowerScale OneFS, version 9.13.0.0, contains an overly restrictive account lockout mechanism vulnerability. An unauthenticated attackerEPSS 0.3%