FICHE CVE

CVE-2016-8741

Publiée le 2017-05-15 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations d'Apache Qpid Broker pour Java utilisant l'authentification SCRAM-SHA-1 ou SCRAM-SHA-256 sont vulnérables à l'énumération des noms d'utilisateur. Un attaquant distant non authentifié peut déterminer si des comptes d'utilisateurs spécifiques existent en observant la manière dont le serveur interrompt la négociation de connexion. Ce processus est facile à exécuter sur le réseau et ne nécessite aucun accès préalable ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Exposition d'informations · CWE-200

Publiée2017-05-15

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Apache Qpid Broker for Java can be configured to use different so called AuthenticationProviders to handle user authentication. Among the choices are the SCRAM-SHA-1 and SCRAM-SHA-256 AuthenticationProvider types. It was discovered that these AuthenticationProviders in Apache Qpid Broker for Java 6.0.x before 6.0.6 and 6.1.x before 6.1.1 prematurely terminate the SCRAM SASL negotiation if the provided user name does not exist thus allowing remote attacker to determine the existence of user accounts. The Vulnerability does not apply to AuthenticationProviders other than SCRAM-SHA-1 and SCRAM-SHA-256.