CVE-2026-78551 in RansomLook
Riassunto
di VulDB • 24/08/2026
RansomLook presenta diverse vulnerabilità nel suo endpoint di autenticazione che consentono a un attaccante remoto non autenticato di enumerare i nomi utente validi, eseguire attacchi di password guessing senza restrizioni e potenzialmente esaurire le risorse dei worker dell'applicazione.
Per l'autenticazione locale, la precedente implementazione del login verificava se il nome utente inviato esistesse prima di invocare la funzione di verifica dell'hash della password. Le richieste contenenti un nome utente inesistente venivano quindi elaborate molto più rapidamente rispetto a quelle per account validi, per le quali veniva eseguita la routine di verifica della password computazionalmente onerosa. Un attaccante remoto potrebbe misurare queste differenze nei tempi di risposta per determinare quali nomi utente corrispondono ad account RansomLook validi.
Inoltre, l'endpoint /login non limitava il numero o la frequenza dei tentativi di autenticazione falliti. Di conseguenza, un attaccante potrebbe eseguire attacchi brute-force delle password, dictionary attack, password spraying o credential stuffing contro account noti senza alcun throttling lato server. Per i nomi utente validi, ogni tentativo di autenticazione invoca anche la funzione di derivazione della chiave della password, che consuma una quantità significativa di tempo CPU. Un tasso sufficientemente elevato di tentativi di accesso potrebbe quindi occupare i worker sincroni Gunicorn dell'applicazione e causare un denial of service (DoS) che interessa l'intera applicazione.
Il problema è stato risolto eseguendo sempre la verifica della password utilizzando un hash fittizio generato casualmente quando il nome utente fornito non esiste, eliminando così la discrepanza temporale dipendente dal nome utente. I tentativi di autenticazione falliti sono inoltre limitati in frequenza (rate-limited) per indirizzo IP del client tramite Valkey/Redis; cinque tentativi falliti entro cinque minuti comportano un blocco della durata di un'ora. La configurazione del reverse-proxy è stata anche aggiornata in modo che l'applicazione derivi l'indirizzo del client da un valore X-Forwarded-For attendibile, che non può essere sovrascritto da un'intestazione fornita dal client.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.