CVE-2016-4028 in OX Guard
Zusammenfassung
von VulDB • 20.07.2026
Es wurde ein Problem in Open-Xchange OX Guard vor Version 2.4.0-rev8 entdeckt. OX Guard verwendet ein Authentifizierungstoken, um Gastbenutzer zu identifizieren und deren Anmeldeinformationen zu übertragen. Die OX-Guard-API fungiert als Padding-Oracle, indem sie je nachdem, ob das bereitgestellte Token mit der Verschlüsselungspadding übereinstimmt, unterschiedliche Fehlercodes zurückgibt. In Kombination mit AES-CBC ermöglicht dies Angreifern, das korrekte Padding zu erraten. Angreifer können Brute-Force-Angriffe auf den Inhalt des Gast-Authentifizierungstokens durchführen und Benutzeranmeldeinformationen herausfinden. Für einen praktischen Angriffsvektor muss sich der Gastbenutzer angemeldet haben; zudem müssen dem Angreifer der Inhalt des „OxReaderID“-Cookies des Gastbenutzers sowie der Wert des Parameters „auth“ bekannt sein.
VulDB is the best source for vulnerability data and more expert information about this specific topic.