CVE-2021-3754

يوثّق هذا المستودع تفاصيل الثغرة الأمنية واستغلالها الخاصة بـ CVE-2021-3754 التي اكتشفها وأبلغ عنها Anurag Mondal (7Ragnarok7) في 21 أغسطس 2021

المقاييس

• CWE-20: التحقق غير السليم من المدخلات
• CVSS: 5.3 (متوسط)

الوصف

تم اكتشاف خلل في Apache Keycloak وRedhat SSO حيث يستطيع المهاجم تسجيل نفسه باسم مستخدم مطابق لمعرّف البريد الإلكتروني لأي مستخدم موجود.
يحدث هذا لأن أسماء المستخدمين يتم تقييمها قبل عناوين البريد الإلكتروني. يسمح Keycloak باستخدام البريد الإلكتروني كاسم مستخدم ولا يتحقق من وجود حساب بهذا البريد الإلكتروني بالفعل.

التأثير

سيؤدي السلوك المذكور أعلاه إلى صعوبة استلام رسالة استعادة كلمة المرور إذا نسي المستخدم كلمة المرور، مما يؤدي إلى قفل المستخدمين خارج حساباتهم مؤقتًا.

التخفيف (كما اقترحته Redhat)

الحل البديل هو تفعيل خيار "Email as username" أو تعطيل "Login with email" في إعدادات تسجيل الدخول.
المرجع

إثبات المفهوم/الاستغلال

فيما يلي فيديو لإثبات المفهوم أبلغت عنه Redhat في البداية، ويوضح الثغرة الأمنية بالكامل مع خطوات الاستغلال:

ملاحظات

• يُرجى ملاحظة أن الحل البديل الذي اقترحته Redhat مؤقت ولم يتم إصلاح المشكلة الجذرية المتمثلة في التحقق غير السليم من المدخلات من قبل Redhat/Keycloak.
• لاحظ أن التخفيف المقترح أعلاه من Redhat لـ keycloak لم يتم اختباره والتحقق منه من قبلي.
• لاحظ أنه إذا كنت تستخدم keycloak/Redhat SSO في أي من منتجاتك/تطبيقاتك، فأنت لا تزال عرضة للثغرة. لقد تحققت من أن Redhat SSO لا يزال عرضة لهذه المشكلة حتى تاريخه.
• إذا كنت تستخدم keycloak ولم تقم بتكوين إعدادات شاشة تسجيل الدخول بشكل صحيح، فقد تكون لا تزال عرضة للثغرة.
• تحديث - تم إصلاح هذه الثغرة الأمنية في إصدار KEYCLOAK 24.0.1 (https://github.com/advisories/GHSA-4vc8-pg5c-vg4x)

روابط مهمة

• https://nvd.nist.gov/vuln/detail/CVE-2021-3754
• https://www.cvedetails.com/cve/CVE-2021-3754/
• https://bugzilla.redhat.com/show_bug.cgi?id=1999196
• https://access.redhat.com/security/cve/CVE-2021-3754
• https://github.com/advisories/GHSA-4vc8-pg5c-vg4x
• https://github.com/advisories/GHSA-j9xq-j329-2xvg
• https://vulners.com/cve/CVE-2021-3754
• https://www.tenable.com/cve/CVE-2021-3754