CVE-2020-11625
Açıklama
AvertX Auto focus Night Vision HD Indoor/Outdoor IP Dome Camera HD838 ve Night Vision HD Indoor/Outdoor Mini IP Bullet Camera HD438 modellerinde bir sorun tespit edilmiştir. Başarısız web UI giriş denemeleri, kullanıcı hesabının mevcut olup olmamasına bağlı olarak farklı yanıtlar vermektedir. Yanıtların gönderilen kullanıcı adının geçerli olup olmadığını belirtmesi, meşru kullanıcı adlarının tanımlanmasını kolaylaştırmaktadır. Eğer ISAPI/Security/sessionLogin/capabilities adresine mevcut olan bir kullanıcı adı ile giriş isteği gönderilirse, şifre yanlış olsa bile o kullanıcı adına verilen salt değeri döndürülmektedir. Ancak, veritabanında bulunmayan bir kullanıcı adı kullanılarak giriş isteği gönderildiğinde boş bir salt değeri döndürülmektedir. Bu durum, saldırganların meşru kullanıcı adlarını numaralandırmasına (enumerate) olanak tanıyarak kaba kuvvet (brute-force) saldırılarını kolaylaştırmaktadır. NOT: bu durum CVE-2020-7057'den farklıdır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| avertx hd838_firmware | Aralık belirtilmemiş | — |
| avertx hd438_firmware | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.