dodge-mptc/cve-2023-35794-webssh-hijackingالمستودع يحتوي على وصف لـ CVE-2023-35794 الذي اكتشفه فريق Dodge الصناعي لمنصة Dodge OPTIFY platfrom.
يحتوي المستودع على وصف لـ CVE-2023-35794 الذي اكتشفه فريق Dodge Industrial لمنصة Dodge OPTIFY.
CVE ID: CVE-2023-35794
البائع: Cassia Networks
المنتج: Access Controller
الإصدار: Cassia-AC-2.1.1.2303271039
الضعف: التحكم غير الصحيح في الوصول
المتأثر: web ssh، البوابات
الوصف: يمكن اختطاف جلسة WebSSH
الحالة: مؤكد من البائع، تم الإصلاح
الإصدار المُصحَّح: Cassia-AC-2.1.1.2308181707
تستخدم Cassia WebSSH2 من billchurch لبدء جلسات SSH من AC إلى البوابات. WebSSH2 هو عميل SSH ويب يستخدم ssh2 و socket.io و xterm.js و express. مثال بسيط لمُحاكي طرفية ومتصفح SSH قائم على HTML5. يستخدم SSH2 كعميل على مضيف لبروكسي اتصال Websocket/Socket.io إلى خادم SSH2.
عند إنشاء جلسة WebSSH مع جهاز البوابة، يمكن لأي مستخدم خارجي اختطافها دون أي مصادقة أو تفويض.
يتم إنشاء الجلسة عبر طلب GET إلى المسار التالي:
/ap/remote/<mac>?ssh_port=<ac-rev-ssh-port>
ثم تستقبل البوابة الطلب عبر قناة MQTT (أو CAPWAP) وتنشئ نفق SSH مع إعادة توجيه المنفذ المحلي إلى Access Controller.
ثم يربط Access Controller المنفذ المُعاد توجيهه بجلسة SSH ويب. يتم إعادة توجيه المستخدم الذي استدعى جلسة ssh الويب إلى
/ssh/host ولكن لا يتم التحقق من صحة ملف تعريف الارتباط الخاص بالجلسة.
يتم تقديم ملف تعريف ارتباط WebSSH2 الجديد مع خطأ 401.
في الواقع، يُطلب من المستخدم تقديم مصادقة أساسية (Basic auth).
يتم إرسال بيانات اعتماد المصادقة الأساسية التي تم الحصول عليها في الطلبات التالية
ويتم استهلاكها بواسطة webssh2.bundle.js كبيانات اعتماد تُستخدم للمصادقة على الجهاز المختار.
يسمح هذا لمستخدم غير مصرح له ببوابة Access Controller باختطاف جلسة SSH موجودة بالفعل مع معرفة اسم مستخدم SSH وكلمة المرور فقط (لاحظ أن هذا عادةً قد يكون الافتراضي cassia:cassia-<last-mac-6-digits>).
قد يستخدم المهاجم CVE-2023-35793 لخداع أي مستخدم مُوثَّق لبدء جلسة إلى أي جهاز متصل بـ AC (لاحظ أن المستخدم لا يحتاج إلى تسجيل الدخول إلى البوابة، سيتم بدء الجلسة نفسها باستغلال CVE-2023-35793 CSRF فقط). ثم باستخدام هذا الضعف ومعرفة عنوان MAC، يمكن للمهاجم بسهولة الحصول على وصول إلى الجهاز عبر WebSSH.
لنفترض أن مهاجماً قام باستهداف شخص ما وتم إنشاء الجلسة إلى البوابة حيث يتم استخدام بيانات الاعتماد الافتراضية.
