در نسخه‌های پیش از 2.3.12 نرم‌افزار Froxlor، یک آسیب‌پذیری امنیتی در دستور API مربوط به DirProtections.listing شناسایی شده است که منجر به افشای اطلاعات حساس (Credential Disclosure) می‌شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی به کاربران احراز هویت شده در API اجازه می‌دهد تا هش‌های رمز عبور (Password Hashes) مربوط به کاربران دایرکتوری‌های حفاظت‌شده را استخراج کنند. این هش‌ها با الگوریتم bcrypt تولید شده‌اند و در فایل‌های htpasswd ذخیره می‌شوند.
تاثیرات امنیتی
- حملات آفلاین: مهاجمان می‌توانند با دسترسی به این هش‌ها، حملات Brute-force یا Dictionary Attack را به صورت آفلاین برای شکستن رمزها اجرا کنند.
- افشای رمزهای تکراری: در صورتی که کاربران از رمزهای عبور مشابه در سرویس‌های دیگر استفاده کرده باشند، این نشت منجر به به خطر افتادن سایر حساب‌های آن‌ها خواهد شد.
توصیه می‌شود مدیران سیستم در سریع‌ترین زمان ممکن، Froxlor را به نسخه 2.3.12 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
