abraxas/openmeetings-invite-recording-aclApache OpenMeetings 9.1.0 – Hoch – Remote – IDOR – Typ.USER Einladungsaufzeichnung MP4 ACL
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-invite-recording-acl
Klasse: IDOR Reichweite: Remote
Apache OpenMeetings 9.1.0. CVE-2023-29032 hat das Kopieren von Wicket ADMIN in WebSession.rights unterbunden. checkHashes führt weiterhin setUser(invitation.getInvitee(), hrights) aus. Die ACL für Aufnahme-MP4s richtet sich nach ownerId == getUserId(). Eine Kalendereinladung, deren Eingeladener Type.USER ist, öffnet die Aufnahmen dieses Benutzers. CONTACT-Gäste bleiben außen vor.
| ID | noch keine CVE |
| Klasse | IDOR |
| Reichweite | Remote (Einladungs-Hash, kein Passwort) |
| CWE | CWE-639 |
| CVSS | Hoch: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Produkt | Apache OpenMeetings 9.1.0 |
| Auth | Type.USER-Einladungs-Hash |
| Lizenz | GNU Affero GPL v3.0 |
| Lab | nur 127.0.0.1:18156 |
| Methode | Sink | Berechtigung |
|---|---|---|
Unauth GET /hash?invitation= dann GET /recordings/mp4/{id} | WebSession.checkHashes setUser(invitee) + Eigentümer-ACL der Aufnahme | Recon (im Lab nachgewiesen): MP4-Bytes. Lab: HTTP 200 video/mp4, Witness im Body. Unauth ohne Hash 404. CONTACT-Hash 404. |
Geschlossen: LIKE-Wildcard-Einlösung (CVE-2023-28936). CONTACT-Gäste mit Generate-URL. Wicket-ADMIN-Kopie aus der Einladung.
cd lab
./run.sh
Letzte Zeile: SUCCESS OPENMEETINGS-INVITE-RECORDING-WITNESS
Vorgeschlagene Korrektur: Einladungssitzungen behalten nur {ROOM}. Die Aufnahme-ACL darf die userId des Eingeladenen nicht als Eigentümer behandeln.
Abraxas Labs – https://abraxaslabs.tech – https://github.com/abraxas – https://x.com/abraxas_null – [email protected]
Anbieter: [email protected]