CVE-2024-34891
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W systemie 1C-Bitrix Bitrix24 w wersji 23.300.100 wykryto podatność polegającą na niewystarczającej ochronie poświadczeń w ustawieniach serwera DAV. Zdalny administrator może odczytać hasła kont Exchange za pomocą żądania HTTP GET.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia haseł kont Exchange, co może prowadzić do nieautoryzowanego dostępu do poczty i innych zasobów organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację systemu 1C-Bitrix Bitrix24 do najnowszej wersji, która usuwa tę podatność. Należy również ograniczyć dostęp do ustawień serwera DAV tylko dla zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
Insufficiently protected credentials in DAV server settings in 1C-Bitrix Bitrix24 23.300.100 allows remote administrators to read Exchange account passwords via HTTP GET request.