CVE-2022-40258: falha de média gravidade em AMI MegaRAC SPx-12
Weak password hashes for Redfish & API
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O AMI Megarac utiliza funções de hash fracas para armazenar senhas nas interfaces Redfish e API, deixando as senhas vulneráveis a ataques de força bruta caso um invasor acesse o banco de dados. Isso importa porque hashes fracs podem ser quebrados rapidamente, comprometendo contas de usuário.
A vulnerabilidade resulta do uso de algoritmos de hash criptográfico insuficientes (CWE-916) para armazenamento de senhas no Redfish e API do AMI Megarac. Se um atacante obtiver o banco de dados de hashes através de outro vetor (como acesso a arquivos de configuração), hashes fracos podem ser rapidamente revertidos por ataque de dicionário ou força bruta, levando ao comprometimento de contas e possível escalação de privilégios.
No mesmo produto, das mais perigosas para as menos.