یک آسیب‌پذیری امنیتی با شناسه CVE-2023-29973 در Pfsense شناسایی شده است که به‌دلیل عدم بررسی محدویت‌های استخراج داده در یک سرور وب‌سایت، امکان ایجاد چندین کاربر مخرب در فایروال را برای مهاجم فراهم می‌آورد. کنترل مهاجم بر روی فایروال از راه دور از طریق ssh با نام کاربری مخرب و رمز عبور، یک مسئله‌ای حائز اهمیت برای هر سازمان می‌باشد.
محصولات تحت تأثیر
این آسیب‌پذیری Pfsense CE نسخه 2.6.0 را تحت تأثیر قرار می‌دهد.
توصیه‌های امنیتی
از آنجا که نقص امنیتی مذکور، پروتکل‌ها و سیاست‌های رمز عبور را مورد هدف قرار می‌دهد، توصیه به رعایت نکات زیر لازم می‌باشد:
• اعمال محدویت رعایت حداقل و حداکثر طول کاراکترهای رمزعبور
• عدم استفاده مجدد از یک رمز عبور تکراری
• عدم استفاده از رمزهای عبور رایج و قابل حدس
• عدم استفاده از یک رشته متنی مشخص در رمز عبور (مانند شناسه کاربری و ...)
• استفاده از رمزهای عبور پیچیده که به مجموعه کاراکترهای ترکیبی نیاز دارند (ترکیب حروف، اعداد و علائم)
افزایش تعداد کاراکترهای رمزعبور حدس زدن و به سرقت بردن آن را سخت‌تر می‌کند و ممکن است برای سیستم‌هایی که بر احراز هویت تک عاملی تکیه دارند مناسب باشد؛ اما متأسفانه، به خاطر سپردن رمز عبور پیچیده ممکن است دشوار باشد و کاربر را تشویق به انتخاب رمز عبور کوتاه یا مدیریت اشتباه رمز عبور کند.
از دیگر معایب این روش آن است که به دلیل استفاده قابل حدس از نمادهای مختلف توسط کاربران، غالبا پیچیدگی کلی رمز عبور افزایش نخواهد یافت و انتخاب یک عبارت عبور خوب آسان نیست و حتی می‌توان رمزهای عبور ضعیف ایجاد کرد. ممکن است برای تشویق گذرواژه‌های طولانی و غیرقابل پیش‌بینی، به برخی درخواست‌ها نیاز باشد.
• انتخاب رمزعبور تصادفی
• اعمال منقضی شدن رمز عبور پس از یک بازه زمانی مشخص
در زمانی که استفاده از رمزهای عبور پیچیده و طولانی مورد نظر نیست، تغییر دوره‌ای آن می‌تواند روشی کارآمد باشد.
در کلیه موارد فوق‌الذکر، رعایت سایر نکات امنیتی از جمله خودداری از ذخیره رمزعبور، عدم استفاده از کلمات مشخص، نمادها و یا استفاده از رمزهای عبور رایج و غیره باید رعایت شود.
منبع خبر:
- 362