CVE-2024-24766mediumCWE-204

CVE-2024-24766: falha de média gravidade em IceWhaleTech CasaOS-UserService

CasaOS Username Enumeration

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar CasaOS-UserService+ Monitorar github.com/IceWhaleTech/CasaOS-UserService

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.2epss 0.8%
Em resumo

A página de login do CasaOS revela se um nome de usuário existe ou não através de mensagens de erro diferentes. Isso permite que atacantes descubram nomes de usuários válidos, facilitando ataques de força bruta de senha.

Detalhe técnico

Vulnerabilidade de enumeração de usuários no CasaOS-UserService (versões 0.4.4.3 a 0.4.6) originária de mensagens de erro distintas durante tentativas de autenticação (CWE-204). Um atacante pode diferenciar entre nomes de usuário inválidos e senhas incorretas através das respostas da aplicação, permitindo enumeração sistemática de usuários sem autenticação. Corrigido na versão 0.4.7.

Resumo gerado e traduzido por IA a partir da descrição oficial.
CasaOS-UserService provides user management functionalities to CasaOS. Starting in version 0.4.4.3 and prior to version 0.4.7, the Casa OS Login page disclosed the username enumeration vulnerability in the login page. An attacker can enumerate the CasaOS username using the application response. If the username is incorrect application gives the error `**User does not exist**`. If the password is incorrect application gives the error `**Invalid password**`. Version 0.4.7 fixes this issue.
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
IceWhaleTech · CasaOS-UserService
CVEs relacionadas — IceWhaleTech CasaOS-UserService

No mesmo produto, das mais perigosas para as menos.

CVE-2024-24767CRITICALCasaOS Improper Restriction of Excessive Authentication Attempts vulnerabilityEPSS 1.0%CVE-2024-24765HIGHCasaOS-UserService allows unauthorized access to any fileEPSS 1.0%CVE-2024-28232MEDIUMUsername Enumeration in CasaOS via bypass of CVE-2024-24766EPSS 0.6%