iDS6 DSSPro Digital Signage System 6.2 contains a sensitive information disclosure vulnerability that allows remote attackers to intercept authentication credentials through cleartext cookie transmission. Attackers can exploit the autoSave feature to capture user passwords during man-in-the-middle attacks on HTTP communications.
iDS6 DSSPro Digital Signage System 6.2 transmits authentication credentials in cleartext via HTTP cookies, enabling attackers to intercept passwords through man-in-the-middle attacks. The autoSave feature exacerbates the vulnerability by storing sensitive credentials without encryption. Organizations using this system face significant credential theft risks.
تسمح هذه الثغرة الأمنية للمهاجمين عن بُعد باعتراض بيانات اعتماد المصادقة من خلال نقل ملفات تعريف الارتباط بنص واضح عبر بروتوكول HTTP غير المشفر. يمكن للمهاجمين استغلال ميزة الحفظ التلقائي (autoSave) لالتقاط كلمات مرور المستخدمين أثناء هجمات الوسيط على الاتصالات. تصنف الثغرة ضمن CWE-319 المتعلقة بنقل المعلومات الحساسة بنص واضح، مما يعرض أنظمة اللافتات الرقمية للاختراق الكامل. يؤثر هذا الضعف على سرية بيانات المصادقة ويمكن أن يؤدي إلى وصول غير مصرح به للأنظمة الحيوية.
يقوم نظام iDS6 DSSPro للافتات الرقمية الإصدار 6.2 بنقل بيانات اعتماد المصادقة بنص واضح عبر ملفات تعريف الارتباط HTTP، مما يمكّن المهاجمين من اعتراض كلمات المرور من خلال هجمات الوسيط. تزيد ميزة الحفظ التلقائي من خطورة الثغرة بتخزين بيانات الاعتماد الحساسة دون تشفير. تواجه المؤسسات المستخدمة لهذا النظام مخاطر كبيرة لسرقة بيانات الاعتماد.
1. Immediately disable HTTP access and enforce HTTPS/TLS 1.2+ for all DSSPro communications with valid certificates to encrypt credential transmission
2. Disable or reconfigure the autoSave feature to prevent cleartext password storage, implementing secure credential management with hashed storage
3. Deploy network segmentation to isolate digital signage systems and implement monitoring for man-in-the-middle attack indicators on management interfaces
1. إيقاف الوصول عبر HTTP فوراً وفرض استخدام HTTPS/TLS 1.2 أو أحدث لجميع اتصالات DSSPro مع شهادات صالحة لتشفير نقل بيانات الاعتماد
2. تعطيل أو إعادة تكوين ميزة الحفظ التلقائي لمنع تخزين كلمات المرور بنص واضح، وتطبيق إدارة آمنة لبيانات الاعتماد مع التخزين المشفر
3. نشر تقسيم الشبكة لعزل أنظمة اللافتات الرقمية وتطبيق المراقبة لاكتشاف مؤشرات هجمات الوسيط على واجهات الإدارة