Skip to content
KitploitKITPLOIT
ToolsExploitsBlog
Log in
Einreichen
ToolsExploitsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

FeedsKontaktDatenschutz© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
openmeetings-stale-install-admin — Apache OpenMeetings 9.1.0 – Hoch – Remote – Privilegien-Rest – veralteter /install-Assistent fügt zweiten ADMIN hinzu | Kitploit
Tools/GitHubGitHub/abraxas/openmeetings-stale-install-admin
Authentifizierung & AutorisierungPrivilege EscalationSchwachstellenanalyseExploitationWebanwendungs-ExploitationLabs & Praxis
GitHubabraxas/openmeetings-stale-install-admin

openmeetings-stale-install-admin

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

Apache OpenMeetings 9.1.0 – Hoch – Remote – Privilegien-Rest – veralteter /install-Assistent fügt zweiten ADMIN hinzu

Repository anzeigen
vor 2 TagenNoch nicht geprüft

Abraxas Labs - openmeetings-stale-install-admin

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  openmeetings-stale-install-admin

openmeetings-stale-install-admin

Klasse: Zurückgebliebenes Privileg Reichweite: Remote

Apache OpenMeetings 9.1.0 (9773c59e) - Apache Software Foundation

InstallWizardPage leitet neue Anfragen nach isInstalled() um. Eine Wicket-Seite, die vor der ersten Installation geöffnet wurde, bleibt aktiv. Ein Finish auf dieser veralteten Sitzung führt loadAll(cfg, true) aus. ImportInitvalues.checkInstalled protokolliert "no need to install" und kehrt nicht zurück. Das zweite Finish fügt einen weiteren ADMIN+SOAP-Benutzer ein.

IDnoch keine CVE
KlasseZurückgebliebenes Privileg
ReichweiteRemote (unauthentifiziertes /install während der Ersteinrichtung)
CWECWE-367, CWE-269
CVSSHoch: 8.1 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
ProduktApache OpenMeetings
Betroffen9.1.0 (9773c59e1af327bf988018e661f456ae9997c29f) Erstinstallations-Fenster
Authkeine auf der veralteten Wizard-Sitzung
LizenzGNU Affero GPL v3.0
Labnur 127.0.0.1:18159. Offizielles 9.1.0-Tarball, nicht installiert, HTTP 5080.

Ich habe den Tag 9.1.0 gepinnt, Peel 9773c59e1af327bf988018e661f456ae9997c29f. Das Zurückbleiben erfordert eine Wizard-Seite, die vor Abschluss der ersten Installation geöffnet wurde.

Was ein Angreifer tun kann

/openmeetings/install erreichen, während die Instanz noch nicht installiert ist. Diese JSESSIONID behalten. Warten, bis ein Betreiber die erste Installation abschließt. POST Finish auf der veralteten Seite.

MethodeSinkPrivileg
Veraltetes POST-Wizard-Finish (wizard-form-buttons-finish)ImportInitvalues.checkInstalled protokolliert und fährt fort (ImportInitvalues.java:607-612); loadInitUserAndGroupIntegrität (im Lab nachgewiesen): zweiter Benutzer staleadm mit Rechten ADMIN, SOAP, LOGIN, DASHBOARD, ROOM. SOAP-Login erfolgreich. Benutzerlistenanzahl=2.
Dasselbe loadAll(cfg, true)Persistenz / SMTP / Pfade aus dem veralteten FormularIntegrität (abgeleitet): persistence.xml und Mail-Einstellungen aus angreifergesteuerten Wizard-Feldern überschreiben. Für SUCCESS nicht erforderlich.

Im Lab nachgewiesen vs. abgeleitet: zweiter ADMIN+SOAP-Login ist im Lab. persistence.xml-Überschreiben ist aus loadAll abgeleitet.

Voraussetzung: Angreifer hat /install vor isInstalled() abgerufen. Betreiber hat dann die Installation abgeschlossen. Dieselbe Wicket-Seiten-ID wurde weiterhin gepostet. Das offizielle Docker-Image ist bereits installiert, daher betrifft dies das Erststart-Fenster des Tarballs (und jede Neuinstallation).

Angrenzende Angriffsfläche, die geschlossen bleibt

AngriffsflächeWarum
Frisches GET /install nach der InstallationKonstruktor leitet zu /signin um (InstallWizardPage.java:31-34). Lab: neue Sitzung landete auf signin.
Unauthentifizierter SOAP-Login vor der InstallationHealth installed=false; Login schlägt fehl bis zum Wizard-Finish.
Tomcat-Manager / H2-KonsoleManager ausgeschlossen, H2-Konsole bei diesem Pin deaktiviert.

Wie ich es gefunden habe

Die Sperre im Konstruktor sieht wie eine vollständige Behebung für "Installation nach Installation" aus. checkInstalled protokolliert weiterhin nur. Wicket speichert die Seite in der Sitzung. Eine Sitzung, die isInstalled() überschritten hat, behält eine Finish-Schaltfläche, die weiterhin loadAll aufruft.

admin.sh -i ist eine zweite JVM und lädt nicht den Tomcat-CryptProvider, daher verwendet dieses Lab einen zweiten Web-Wizard als ersten Installer und die veraltete Seite als Angreifer.

Lab

cd lab
./run.sh

Loopback http://127.0.0.1:18159/openmeetings. Zeuge letzte Zeile:

SUCCESS OPENMEETINGS-STALE-INSTALL-WITNESS

Vorgeschlagene Korrektur

checkInstalled muss zurückkehren (oder eine Ausnahme auslösen), wenn bereits installiert. Binde Finish an ein einmaliges Installations-Token. Entferne die Wicket-Seite aus der Sitzung, wenn isInstalled() umschlägt. Füge keinen zweiten ADMIN aus loadInitUserAndGroup ein, wenn bereits ein Administrator existiert.

Kontakt

Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]

Anbieter: [email protected]

Tool herunterladen