CVE-2020-11625
Problém byl objeven v AVERTX Auto Focus Night Vision HD Indoor/Outdoor IP Dome Camera HD838 a Night Vision HD Indoor/Outdoor Mini IP Bullet Camera HD438. Selhání pokusů o přihlášení webového uživatelského rozhraní vyvolává různé odpovědi v závislosti na tom, zda existuje uživatelský účet. Protože odpovědi naznačují, zda je předložené uživatelské jméno platné nebo ne, usnadňuje identifikaci legitimních uživatelských jmen. Pokud je odeslán žádost o přihlášení na ISAPI/Security/SessionLogin/schopnosti pomocí uživatelského jména, které existuje, vrátí hodnotu soli dané tomuto uživatelskému jménu, i když je heslo nesprávné. Pokud je však přihlašovací požadavek odeslán pomocí uživatelského jména, které není v databázi přítomno, vrátí prázdnou hodnotu soli. To umožňuje útočníkům vyjmenovat legitimní uživatelská jména a usnadňovat útoky brutální síly. Poznámka: To se liší od CVE-2020-7057.
MISC: https://unit42.paloaltonetworks.com/avertx-ip-cameras-vulnerabilities/
CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11625
published: 23. 7. 2020
