CVE-2021-41615
Publiée le 2022-08-08 · Dernière modification le 2026-06-17
Les anciennes versions du serveur web GoAhead et de ses produits dérivés utilisent une valeur codée en dur pour l'authentification, rendant la partie « secrète » du processus de connexion prévisible. Un attaquant distant disposant d'un accès réseau peut exploiter cette faille pour contourner l'authentification et prendre le contrôle total du système sans avoir besoin de mot de passe ni d'interaction de l'utilisateur. Comme cette vulnérabilité est intégrée au code et ne nécessite aucun privilège particulier pour être déclenchée, elle est relativement facile à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
websda.c in GoAhead WebServer 2.1.8 has insufficient nonce entropy because the nonce calculation relies on the hardcoded onceuponatimeinparadise value, which does not follow the secret-data guideline for HTTP Digest Access Authentication in RFC 7616 section 3.3 (or RFC 2617 section 3.2.1). NOTE: 2.1.8 is a version from 2003; however, the affected websda.c code appears in multiple derivative works that may be used in 2021. Recent GoAhead software is unaffected.