CVE-2014-0097
Publiée le 2017-05-25 · Dernière modification le 2026-06-17
Les applications utilisant Spring Security (versions 3.1.0-3.1.5 et 3.2.0-3.2.1) avec l'authentification LDAP Active Directory sont concernées si l'annuaire autorise les liaisons anonymes (anonymous binds). Un attaquant non authentifié peut obtenir un accès non autorisé à un compte utilisateur en fournissant simplement un nom d'utilisateur valide et un mot de passe vide. Cette exploitation est facile à réaliser à distance via le réseau et ne nécessite aucune interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The ActiveDirectoryLdapAuthenticator in Spring Security 3.2.0 to 3.2.1 and 3.1.0 to 3.1.5 does not check the password length. If the directory allows anonymous binds then it may incorrectly authenticate a user who supplies an empty password.