CVE-2023-26984

Erklärung der Sicherheitslücke:

Ein Problem in der Passwort-Reset-Funktion von Peppermint v0.2.4 ermöglicht es Angreifern, über eine manipulierte Anfrage auf die E-Mails und Passwörter der Tickets-Seite zuzugreifen.

Angriffsvektoren:

Der Angreifer musste sich mit der Benutzerrolle anmelden und das Passwort zurücksetzen. Dann den Datenverkehr abfangen und die ID auf die Admin-Rolle oder einen anderen Benutzer ändern. (Ein Angreifer kann die E-Mail und das Passwort der Tickets-Seite sehen, wenn er ein Ticket erstellt.) Danach kann sich der Angreifer mit dem neuen Passwort des Admin-Kontos anmelden.

Betroffen:

• http://localhost:5001/settings

• http://localhost:5001/api/v1/users/resetpassword

• POST

  • /api/v1/users/resetpassword
  • {"password":"P@ssw0rd","id":1}

Getestet auf:

1. Peppermint Version 0.2.4 (https://github.com/Peppermint-Lab/peppermint/tree/master)

Schritte zum Angriff:

1. Geben Sie Ihren Benutzernamen und Ihr Passwort ein; das Konto muss niedrige Berechtigungen haben.
2. Wählen Sie Profil anzeigen, wählen Sie Passwort und fangen Sie den Datenverkehr ab, geben Sie das neue Passwort ein.
3. Ändern Sie die ID auf die Admin-ID und leiten Sie die Anfrage weiter.
4. Jetzt können Sie sich mit dem Admin-Konto anmelden.

Entdecker:

:shipit: Thapanarath Khempetch

Offenlegungszeitplan:

• 2023–02–25: Sicherheitslücke entdeckt.
• 2023–02–26: Sicherheitslücke an die MITRE Corporation gemeldet.
• 2023–03–29: CVE wurde reserviert.
• 2023–03–29: Öffentliche Offenlegung der Sicherheitslücke.

Referenz:

3. https://github.com/Peppermint-Lab/peppermint/tree/master

4. https://peppermint.sh/