サーバ管理ツール「Froxlor」、二要素認証回避のおそれ

サーバ管理ツール「Froxlor」において、ブルートフォース攻撃により二要素認証のバイパスが可能となる脆弱性が判明した。アップデートが提供されている。

2要素認証の入力画面において試行回数に制限がないため、数字6桁のコードに対する総当たり攻撃が可能である脆弱性「CVE-2023-3173」が明らかとなったもの。ただし、入力画面へ遷移するにはユーザー名やパスワードが必要となる。

脆弱性報告サイト「huntr」を通じて開発者へ報告された。同サイトでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度をもっとも高い「クリティカル（Critical）」とレーティングしている。

開発者は「同2.0.20」にて同脆弱性を修正した。概念実証（PoC）など詳細も公開されている。

（Security NEXT - 2023/06/13 ）ツイート