itres-labs/cve-2023-3350استغلال لثغرة مشكلة في التشفير على IBERMATICA RPS [CVE-2023-3350]
بحث أمني يوثّق كشفًا غير مصادَق للمعلومات وعيبًا في التصميم التشفيري في IBERMATICA RPS 2019.
يمكن ربط الثغرات معًا لكشف سجلات التطبيق التي تحتوي على استعلامات SQL متعلقة بالمصادقة واستعادة كلمات مرور المستخدمين من نص مشفَّر قابل للعكس بنظام AES-CBC.
[إخلاء مسؤولية] تم توفير هذا المستودع لأغراض البحث الأمني والتحقق الدفاعي والتعليم فقط. اختبر حصريًا على الأنظمة التي تملكها أو التي لديك ترخيص صريح بتقييمها.
يمكن للمستخدم غير المصادَق الوصول إلى صفحة حالة خدمة RPS على:
/RPS2019Service/status.html
تعرّض الصفحة عناصر التحكم في التسجيل التشغيلي وتسمح بتنزيل السجلات المُنشأة. قد تحتوي هذه السجلات على بيانات تطبيق حساسة، بما في ذلك أسماء المستخدمين وعناوين IP واستعلامات SQL وقيمًا متعلقة بكلمات المرور.
كلمات المرور غير محمية بدالة تجزئة أحادية الاتجاه لكلمات المرور. بدلاً من ذلك، يستخدم RPS 2019 خوارزمية AES-128-CBC مع مواد مفاتيح مشتقة بشكل قابل للتنبؤ من اسم المستخدم. بمجرد الحصول على اسم المستخدم وقيمة كلمة المرور المشفرة من السجلات، يمكن استعادة كلمة المرور كنص صريح.
| CVE | الوصف | CWE | CVSS 3.1 (CNA) |
|---|---|---|---|
| CVE-2023-3349 | كشف غير مصادَق لمعلومات حساسة عبر سجلات التطبيق القابلة للتنزيل | CWE-200 | 8.2 عالية |
| CVE-2023-3350 | حماية قابلة للعكس لكلمات المرور تعتمد على AES-128-CBC ومواد مفاتيح مشتقة من اسم المستخدم وقابلة للتنبؤ | CWE-327 | 8.2 عالية |
لا تتطلب هذه السلسلة حقن SQL أو تخمين كلمات المرور بالقوة الغاشمة أو وجود حساب تطبيق مسبق.
حدّد التحقيق الشروط التالية:
AES ليست المشكلة الأساسية بحد ذاتها. تنشأ الثغرة من استخدام تشفير قابل للعكس لكلمات المرور، ومواد مفاتيح قابلة للتنبؤ، ومتجه تهيئة ليس عشوائيًا ولا مستقلًا.
قد يسمح الاستغلال الناجح لمهاجم بعيد غير مصادَق بـ:
/RPS2019Service/status.html.ينبغي على المدافعين التحقيق في:
/RPS2019Service/status.html؛تم اكتشاف المشكلات بواسطة LABS @ ITRES أثناء مهمة أمنية هجومية مرخَّصة، وتم تخصيص معرفات CVE لها عبر INCIBE-CERT.
يتوفر تقرير فني مفصل في أول إدخال من سلسلة Old Dives:
المعلومات الواردة في هذا المستودع تهدف إلى مساعدة المؤسسات في تحديد الثغرات الموثقة والتحقق منها ومعالجتها. لا يتحمل المؤلفون والمساهمون المسؤولية عن أي إساءة استخدام أو ضرر ناتج عن استخدام هذه المواد.