Server-tools: auth_brute_force ne prend pas en compte les tentatives de connexion xmlrpc / jsonrpc
Il est possible de contourner la sécurité auth_brute_force en essayant de se connecter via xmlrpc / jsonrpc. Les tentatives de connexion effectuées de cette manière ne sont pas vérifiées par le module et ne comptent pas dans la limite des tentatives infructueuses vers l'interdiction.
Je dirais que l'interface jsonrpc est la préférée pour les outils de bruteforcing, donc IMO cette limitation n'est pas négligeable.
LeartS
Tous les 3 commentaires
: +1: Quand j'ai écrit ce module, je viens de tester avec des tentatives d'interface utilisateur frontale.
cela pourrait être un bon ajout pour enregistrer les essais de xmlrpc. Pensez-vous que vous pourriez faire un PR?
Cordialement.
legalsylvain
le 10 janv. 2018
Salut @lasley. Je me suis permis de changer l'étiquette que vous avez définie. Je pense que "bug" est plus approprié car ce que @LeartS parle rend ce module inutile.
legalsylvain
le 11 janv. 2018
Le correctif est sur https://github.com/OCA/server-tools/pull/1219 , continuons là.
Yajo
le 27 avr. 2018
Questions connexes
pedrobaeza
·
66Commentaires
legalsylvain
·
34Commentaires
naglis
·
3Commentaires
kittiu
·
5Commentaires
OCA-git-bot
·
30Commentaires
Commentaire le plus utile
Salut @lasley. Je me suis permis de changer l'étiquette que vous avez définie. Je pense que "bug" est plus approprié car ce que @LeartS parle rend ce module inutile.