この製品にはアカウントロックアウトの保護メカニズムが含まれているが、このメカニズムがあまりにも制限的で、あまりにも簡単に発動される可能性があるため、攻撃者はアカウントをロックアウトさせることによって正当なユーザーへのサービスを拒否することができる。
アカウントロックアウトは、システムのパスワードベースの認証メカニズムに対するブルートフォース攻撃 への対策として、アプリケーションにしばしば存在するセキュリティ機能である。ある回数ログインに失敗すると、ユーザのアカウントは一定期間、あるいは管理者によってロックが解除されるまで、無効化されます。他のセキュリティイベントも、アカウントロックアウトの引き金になる可能性がある。しかし、攻撃者はこのセキュリティ機能を使って、正当なシステム・ユーザーへのサービスを拒否する可能性がある。したがって、アカウントロックアウトのセキュリティメカニズムが過度に制限的でないことを確認することが重要である。
The product contains an account lockout protection mechanism, but the mechanism is too restrictive and can be triggered too easily, which allows attackers to deny service to legitimate users by causing their accounts to be locked out.
Account lockout is a security feature often present in applications as a countermeasure to the brute force attack on the password based authentication mechanism of the system. After a certain number of failed login attempts, the users' account may be disabled for a certain period of time or until it is unlocked by an administrator. Other security events may also possibly trigger account lockout. However, an attacker may use this very security feature to deny service to legitimate system users. It is therefore important to ensure that the account lockout security mechanism is not overly restrictive.