CVE-2024-1509
Publiée le 2025-02-28 · Dernière modification le 2026-06-17
Les interfaces web de Brocade ASCG antérieures à la version 3.2.0 n'imposent pas l'utilisation du HTTPS via les en-têtes HSTS. Un attaquant positionné sur le même réseau local peut exploiter cette faille pour supprimer le chiffrement SSL, permettant potentiellement le détournement de sessions ou le vol d'identifiants confidentiels en texte clair. Cela nécessite que l'attaquant dispose d'un accès réseau adjacent et soit en mesure d'intercepter le trafic entre l'utilisateur et le serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Brocade ASCG before 3.2.0 Web Interface is not enforcing HSTS, as defined by RFC 6797. HSTS is an optional response header that can be configured on the server to instruct the browser to only communicate via HTTPS. The lack of HSTS allows downgrade attacks, SSL-stripping man-in-the-middle attacks, and weakens cookie-hijacking protections.