CVE-2019-20457

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2019-20457
An issue was discovered on Brother MFC-J491DW C1806180757 devices. The printer's web-interface password hash can be retrieved without authentication, because the response header of any failed login attempt returns an incomplete authorization cookie. The value of the authorization cookie is the MD5 hash of the password in hexadecimal. An attacker can easily derive the true MD5 hash from this, and use offline cracking attacks to obtain administrative access to the device.

9.1 /10

CVSS v3 : CRITICAL

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 5.2

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact NONE

Scope UNCHANGED

References
Link Resource
https://global.brother
https://seclists.org/fulldisclosure/2024/Jul/14
https://support.brother.com/g/s/security/en/index.html
http://seclists.org/fulldisclosure/2024/Jul/14
Configurations

No configuration.

History

15 Apr 2026, 00:35

Type Values Removed Values Added
Summary (es) Se descubrió un problema en los dispositivos Brother MFC-J491DW C1806180757. El hash de la contraseña de la interfaz web de la impresora se puede recuperar sin autenticación, porque el encabezado de respuesta de cualquier intento de inicio de sesión fallido devuelve una cookie de autorización incompleta. El valor de la cookie de autorización es el hash MD5 de la contraseña en hexadecimal. Un atacante puede derivar fácilmente el hash MD5 verdadero a partir de esto y utilizar ataques de descifrado fuera de línea para obtener acceso administrativo al dispositivo. (es) Se descubrió un problema en los dispositivos Brother MFC-J491DW C1806180757. El hash de la contraseña de la interfaz web de la impresora puede recuperarse sin autenticación, porque el encabezado de respuesta de cualquier intento de inicio de sesión fallido devuelve una cookie de autorización incompleta. El valor de la cookie de autorización es el hash MD5 de la contraseña en hexadecimal. Un atacante puede derivar fácilmente el verdadero hash MD5 a partir de esto y utilizar ataques de cracking fuera de línea para obtener acceso administrativo al dispositivo.

04 Nov 2025, 18:15

Type Values Removed Values Added
References
  • () http://seclists.org/fulldisclosure/2024/Jul/14 -

08 Nov 2024, 17:35

Type Values Removed Values Added
CWE CWE-276
Summary
  • (es) Se descubrió un problema en los dispositivos Brother MFC-J491DW C1806180757. El hash de la contraseña de la interfaz web de la impresora se puede recuperar sin autenticación, porque el encabezado de respuesta de cualquier intento de inicio de sesión fallido devuelve una cookie de autorización incompleta. El valor de la cookie de autorización es el hash MD5 de la contraseña en hexadecimal. Un atacante puede derivar fácilmente el hash MD5 verdadero a partir de esto y utilizar ataques de descifrado fuera de línea para obtener acceso administrativo al dispositivo.
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 9.1

07 Nov 2024, 18:15

Type Values Removed Values Added
New CVE
Information

Published : 2024-11-07 18:15

Updated : 2026-04-15 00:35

NVD link : CVE-2019-20457

Mitre link : CVE-2019-20457

CVE.ORG link : CVE-2019-20457

JSON object : View

Products Affected

No product.

CWE
CWE-276

Incorrect Default Permissions