abraxas/openmeetings-remember-me-passwordApache OpenMeetings 9.1.0 – Hoch – Remote – ATO – Remember-Me-Cookie-Replay authentifiziert ohne Passwort
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
Klasse: ATO Reichweite: Remote
Apache OpenMeetings 9.1.0. CVE-2026-33266 hat den fest codierten Remember-Me-Schlüssel geschlossen (AES-GCM pro Instanz). Das Cookie LoggedIn enthält weiterhin Benutzername+Passwort. Opt-in-Checkbox credentials:rememberMe, standardmäßig deaktiviert. Ein neuer Client mit nur diesem Cookie wird zum Benutzer. Kein Passwort. Keine JSESSIONID.
| ID | noch keine CVE |
| Klasse | ATO |
| Reichweite | Remote (gestohlenes Remember-Me-Cookie) |
| CWE | CWE-522, CWE-287 |
| CVSS | Hoch: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| Produkt | Apache OpenMeetings 9.1.0 |
| Authentifizierung | Opt-in-Remember-Me-Cookie |
| Lizenz | GNU Affero GPL v3.0 |
| Labor | nur 127.0.0.1:18158 |
| Methode | Senke | Berechtigung |
|---|---|---|
Cookie: LoggedIn wiedergeben | Remember-Me-Entschlüsselung + signIn | Integrität (im Labor nachgewiesen): authentifizierte Hauptseite ohne Passwort. Kontrolle ohne Cookie bleibt auf der Anmeldeseite. |
Offline-Entschlüsselung mit remember.me.key | AES-GCM-Nutzlast | Aufklärung (abgeleitet): Benutzername+Passwort-Bytes. Dieses Labor stieß bei einer manuellen Entschlüsselung auf InvalidTag; die Wiedergabe funktionierte dennoch. |
Geschlossen: fest codierter Schlüssel (CVE-2026-33266). Standard-Checkbox deaktiviert.
cd lab
./run.sh
Letzte Zeile: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
Empfohlene Korrektur: ein rotierendes Token speichern, nicht das Passwort. LoggedIn beim Abmelden löschen. Das Cookie als Secure markieren. Remember-Me überspringen, wenn OTP eingerichtet ist.
Abraxas Labs – https://abraxaslabs.tech – https://github.com/abraxas – https://x.com/abraxas_null – [email protected]
Anbieter: [email protected]