CVE-2020-11625
Byl objeven problém v AvertX Auto focus Night Vision HD vnitřní/venkovní IP kupolové kameře HD838 a Night Vision HD vnitřní/venkovní mini IP Bullet kameře HD438. Neúspěšné pokusy o přihlášení do webového uživatelského rozhraní vyvolávají různé reakce v závislosti na tom, zda existuje uživatelský účet. Vzhledem k tomu, že odpovědi udávají, zda je zadané uživatelské jméno platné či nikoli, usnadňují identifikaci legitimních uživatelských jmen. Pokud je požadavek na přihlášení odeslán do ISAPI/Security/sessionLogin/capabilities pomocí uživatelského jména, které existuje, vrátí hodnotu salt přidělenou tomuto uživatelskému jménu, i když je heslo nesprávné. Pokud je však požadavek na přihlášení odeslán pomocí uživatelského jména, které není přítomno v databázi, vrátí prázdnou hodnotu salt. To umožňuje útočníkům vyjmenovat legitimní uživatelská jména, což usnadňuje útoky hrubou silou. POZNÁMKA: Toto se liší od CVE-2020-7057.
MISC: https://unit42.paloaltonetworks.com/avertx-ip-cameras-vulnerabilities/
CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11625
published: 23. 7. 2020
