CVE-2023-38505
Publiée le 2023-07-27 · Dernière modification le 2026-06-17
Les installations de DietPi-Dashboard utilisant HTTPS sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut bloquer le tableau de bord en ouvrant une connexion et en refusant de terminer la négociation TLS (handshake), ce qui empêche tout autre utilisateur d'accéder à l'interface. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution via un réseau est triviale.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
DietPi-Dashboard is a web dashboard for the operating system DietPi. The dashboard only allows for one TLS handshake to be in process at a given moment. Once a TCP connection is established in HTTPS mode, it will assume that it should be waiting for a handshake, and will stay this way indefinitely until a handshake starts or some error occurs. In version 0.6.1, this can be exploited by simply not starting the handshake, preventing any other TLS handshakes from getting through. An attacker can lock the dashboard in a state where it is waiting for a TLS handshake from the attacker, who won't provide it. This prevents any legitimate traffic from getting to the dashboard, and can last indefinitely. Version 0.6.2 has a patch for this issue. As a workaround, do not use HTTPS mode on the open internet where anyone can connect. Instead, put a reverse proxy in front of the dashboard, and have it handle any HTTPS connections.