mbCONNECT24などでパスワードリセットによりサービス停止される脆弱性
Summary
認証なしの攻撃者が、ユーザー名とメールアドレスが分かれば、レート制限がないためほかのユーザーのパスワードを何度でもリセットできます。パスワードが書き換えられ続けることで利用できなくなるおそれがあります。影響するのはmbCONNECT24、mymbCONNECT24、myREX24V2、myREX24V2.virtualの2.0.0以降2.21.0未満で、2.21.0が修正版です。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
認証なしの攻撃者が、ユーザー名とメールアドレスが分かれば、レート制限がないためほかのユーザーのパスワードを何度でもリセットできます。パスワードが書き換えられ続けることで利用できなくなるおそれがあります。影響するのはmbCONNECT24、mymbCONNECT24、myREX24V2、myREX24V2.virtualの2.0.0以降2.21.0未満で、2.21.0が修正版です。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| MB connect linembCONNECT24 |
≥ 2.0.0, < 2.21.0→ 2.21.0 |
2.21.0 |
| MB connect linemymbCONNECT24 |
≥ 2.0.0, < 2.21.0→ 2.21.0 |
2.21.0 |
| HelmholzmyREX24V2 |
≥ 2.0.0, < 2.21.0→ 2.21.0 |
2.21.0 |
| HelmholzmyREX24V2.virtual |
≥ 2.0.0, < 2.21.0→ 2.21.0 |
2.21.0 |
Original description The description as published by the source.
An unauthenticated remote attacker can perform password resets for any user with known username and email without rate limiting. This can result in a total loss of availabilit since the password will be reseted.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web info@cert.vde.com
- web info@cert.vde.com
- web nvd.nist.gov
- web certvde.com
- web certvde.com
- web github.com