2FA-Umgehung mittels Brute-Force-Angriff

Übersicht

Die Nagios Fusion-Anwendung (Version 2024R1.2 und 2024R2) ist anfällig für einen Brute-Force-Angriff auf ihren Zwei-Faktor-Authentifizierungsmechanismus (2FA). Insbesondere setzt die 2FA-Implementierung keine ausreichende Ratenbegrenzung oder Kontosperrmechanismen durch, sodass ein Angreifer die 2FA umgehen kann, indem er wiederholt das Einmalpasswort (OTP) errät.

Die folgenden Probleme wurden festgestellt:

• Fehlende Ratenbegrenzung: Der 2FA-Endpunkt begrenzt nicht die Anzahl der OTP-Übermittlungsversuche.
• Schwache Sperrrichtlinie: Nach wiederholten fehlgeschlagenen OTP-Versuchen wird keine Kontosperrung ausgelöst, sodass Brute-Force-Angriffe erfolgreich sein können.
• Potenzial für unbefugten Zugriff: Mit ausreichenden Rechenressourcen könnte ein Angreifer die 2FA umgehen und unbefugten Zugriff auf sensible Konten, einschließlich Administratorkonten, erlangen.

Diese Schwachstelle resultiert aus dem Fehlen geeigneter Abwehrmaßnahmen gegen Brute-Force-Angriffe, wodurch der 2FA-Mechanismus gegen gezielte Angriffe unwirksam wird.

Schweregrad

• Schweregrad: Hoch
• CWE: CWE-307 (primär); CWE-287 (sekundär)
• CVSS-Score (v3.0): 7.6 Hoch
• CVSS-Vektor: AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L

Betroffene Komponenten

• 2FA-Verifizierungsendpunkt (z. B. /verify-otp)
• Authentifizierungs-Middleware
• Sitzungsausstellungsdienst
• Ratenbegrenzungs- / Anti-Automatisierungssteuerungen

Betroffener Anbieter/Produkt

• Produktname- Nagios Fusion
• Betroffene Version: 2024R1.2 und 2024R2
• Behobene Version: 2024R2.1

Zusammenfassung des Problems

Was passiert:

1. Der Benutzer versucht, sich mit gültigem Benutzernamen und Passwort anzumelden.
2. Das System fordert das OTP von der Authenticator-App/SMS/E-Mail an.
3. Der Angreifer skriptet automatisierte Anfragen an den /verify-otp-Endpunkt.
4. Aufgrund fehlender Ratenbegrenzung und Sperrung kann der Angreifer unbegrenzt viele Versuche unternehmen.
5. Innerhalb einer vertretbaren Zeit errät der Angreifer das korrekte OTP und umgeht die 2FA.

Sicherheitslücke: 2FA soll die Entropie erhöhen und die Machbarkeit von Brute-Force-Angriffen verringern. Ohne geeignete Anti-Automatisierungssteuerungen wird das OTP brute-force-fähig, wodurch der zweite Faktor unwirksam wird.

Missbrauchsszenarien:

• Automatisierte Credential-Stuffing- und Brute-Force-OTP-Angriffe zur Übernahme einer großen Anzahl von Konten.
• Gezielter Angriff auf hochwertige Konten, bei denen das Passwort durch Phishing oder Leck erlangt wurde.

Empfehlungen zur Schadensbegrenzung

• Strenge Ratenbegrenzung pro Konto/IP/Gerät für OTP-Versuche durchsetzen.
• Konto nach N fehlgeschlagenen OTP-Versuchen sperren und erneute Authentifizierung verlangen.
• Verzögerungen (z. B. exponentiell) bei wiederholten Fehlversuchen einführen.

Offenlegungszeitplan

• [05-01-2025]: Schwachstelle entdeckt

• [05-01-2025]: An Anbieter gemeldet

• [10-01-2025]: Anbieter hat die Schwachstelle bestätigt

• [23-07-2025]: Anbieter hat die Schwachstelle mit einem neuen Release behoben

• [16-08-2025]: CVE beantragt

• [23-10-2025]: CVE zugewiesen

  ---

📌 Dieses Repository dient ausschließlich der Meldung von Schwachstellen und als CVE-Referenz.