CVE-2023-39144

الخلفية

اكتشفت هذه الثغرة الأمنية في مايو 2023. تقوم شركة Element55 بتطوير برمجيات لمكاتب المحاماة لتتبع الوقت. يسحب هذا البرنامج المعلومات من مواقع مختلفة، مثل Exchange وSQL وShoretel.

الجدول الزمني

• 24 مايو 2023 - تم الإبلاغ عن الثغرة إلى Element 55
• 25 مايو 2023 - أكدت Element55 وجود الثغرة وقالت إنها ستعمل على إصلاحها كجزء من الإصدار 22. (كانوا محترفين ورائعين في التعامل)
• 24 يوليو 2023 - تم التأكيد مع Element55 على أنه تم إصلاحها.

وصف الثغرة

يقوم جهاز Element55 Maketime Appliance بتخزين كلمات المرور بنص واضح داخل التطبيق. يمكن رؤية ذلك من خلال الانتقال إلى صفحات الإدارة الخاصة بـ Exchange وLDAP وSQL وShoretel. يتم إخفاء كلمات المرور التي تم إدخالها إلى Maketime ضمن هذه الصفحات بعلامات نجمية. ومع ذلك، عند عرض كود مصدر HTML، تظهر كلمات المرور بنص عادي. على الرغم من أن هذا وحده لا يعد خطيرًا، إلا أنه ليس من غير المألوف أن يجعل المستخدمون حساب الخدمة مسؤول مجال، وغالبًا ما تكون حسابات خدمة Exchange غير ضرورية ذات صلاحيات زائدة، مما يعني أنه إذا تمكن شخص ما من الوصول إليها، يمكنه رفع صلاحياته داخل الشبكة. أخيرًا، غالبًا ما تكون كلمات المرور المختارة لوحدات التحكم في الويب ضعيفة ويمكن تخمينها، مثل admin:admin.

موقع وسوم HTML القابلة للاستغلال

LDAP:

<input type=password name="settings[ldap_password]" value="password" size=20>

Exchange:

<input type=password name="settings[exchange_password]" value="password" size=20>

SQL:

<input type=password name="settings[ms_password]" value="password" size=20>

Shoretel:

<input type=password name="settings[password]" value="password" size=20>

الإصدارات القابلة للاستغلال

21 والإصدارات الأقدم.

الإصدار المُصلَح

22

المراجع

Element55, Element55 MakeTime, CWE-312