CVE-2024-5617
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les systèmes concernés utilisent une configuration d'authentification à double stockage où le même nom d'utilisateur existe à la fois dans un magasin d'utilisateurs primaire et secondaire. Le logiciel ne parvient pas à déclencher le verrouillage du compte primaire lorsqu'un utilisateur est verrouillé sur le compte secondaire. Cette erreur de logique permet aux tentatives d'authentification de se poursuivre en contournant le mécanisme de limitation de sécurité.
Un attaquant peut utiliser cette faille pour mener une attaque par force brute sur le mot de passe afin d'obtenir un accès non autorisé à un compte, compromettant ainsi la confidentialité et l'intégrité des données de cet utilisateur. L'exploitation nécessite un accès réseau mais est difficile à exécuter car elle dépend de la configuration spécifique et peu courante de noms d'utilisateurs dupliqués entre les magasins. Aucune authentification préalable ni interaction de l'utilisateur n'est requise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The account lock feature fails to correctly enforce account lockouts on the primary user store when users with identical usernames exist in both primary and secondary user stores. This occurs because the lock condition is only applied to the secondary user store account in such scenarios, allowing continued authentication attempts against the primary user store account. This functional flaw enables brute force attacks. By systematically attempting different passwords against the primary user store account, an attacker can potentially gain unauthorized access to sensitive information or accounts, as the intended account lockout mechanism does not prevent repeated login attempts.