CVE-2023-3349 / CVE-2023-3350 | IBERMATICA RPS 2019

Sicherheitsforschung, die eine nicht authentifizierte Offenlegung von Informationen und einen kryptografischen Designfehler in IBERMATICA RPS 2019 dokumentiert.

Die Schwachstellen können miteinander verkettet werden, um Anwendungsprotokolle offenzulegen, die authentifizierungsbezogene SQL-Abfragen enthalten, und um Benutzerpasswörter aus reversiblem AES-CBC-Chiffrat wiederherzustellen.

[HAFTUNGSAUSSCHLUSS] Dieses Repository wird ausschließlich zu Zwecken der Sicherheitsforschung, der defensiven Validierung und der Ausbildung bereitgestellt. Testen Sie ausschließlich Systeme, die Ihnen gehören oder deren Bewertung Ihnen ausdrücklich gestattet wurde.

Zusammenfassung

Ein nicht authentifizierter Benutzer kann die Statusseite des RPS-Dienstes unter folgender Adresse aufrufen:

/RPS2019Service/status.html

Die Seite legt Steuerungen für die Betriebsprotokollierung offen und ermöglicht das Herunterladen generierter Protokolle. Diese Protokolle können sensible Anwendungsdaten enthalten, darunter Benutzernamen, IP-Adressen, SQL-Abfragen und passwortbezogene Werte.

Passwörter sind nicht durch eine Einweg-Passwort-Hashfunktion geschützt. Stattdessen verwendet RPS 2019 AES-128-CBC mit Schlüsselmaterial, das vorhersehbar aus dem Benutzernamen abgeleitet wird. Sobald ein Benutzername und der zugehörige verschlüsselte Passwortwert aus den Protokollen gewonnen wurden, kann das Passwort im Klartext wiederhergestellt werden.

Schwachstellen

Betroffenes Produkt

• Produkt: IBERMATICA RPS
• Betroffene Version: RPS 2019
• Komponente: Status- und Protokollierungsfunktionen des RPS-2019-Dienstes

Angriffskette

1. Rufen Sie die offengelegte RPS-Statusseite ohne Authentifizierung auf.
2. Aktivieren Sie die Anwendungsprotokollierung über die verfügbaren Steuerelemente der Statusseite.
3. Lösen Sie Authentifizierungsaktivitäten aus oder warten Sie darauf.
4. Laden Sie die generierte Protokolldatei herunter.
5. Extrahieren Sie Benutzernamen und verschlüsselte Passwortwerte aus protokollierten SQL-Abfragen.
6. Leiten Sie das AES-Schlüsselmaterial aus dem zugehörigen Benutzernamen ab.
7. Entschlüsseln Sie den gespeicherten Wert und stellen Sie das Passwort im Klartext wieder her.

Für diese Angriffskette sind weder SQL-Injection, Passwort-Brute-Force noch ein zuvor bestehendes Anwendungskonto erforderlich.

Technische Hinweise

Die Untersuchung identifizierte die folgenden Bedingungen:

• Debug-Protokolle enthalten vollständige SQL-Abfragen im Zusammenhang mit der Authentifizierung.
• Anmeldeversuche mit nicht vorhandenen Benutzernamen können das übermittelte Passwort im Klartext protokollieren.
• Passwörter vorhandener Benutzer erscheinen in SQL-Abfragen als Base64-codiertes Chiffrat.
• Das Verschlüsselungsverfahren verwendet AES-128 im CBC-Modus.
• Der Schlüssel und der Initialisierungsvektor werden deterministisch aus dem Benutzernamen abgeleitet und mit einem festen Zeichen auf 16 Bytes aufgefüllt.
• Derselbe vorhersehbare Wert wird sowohl als Schlüssel als auch als IV verwendet.

AES ist für sich genommen nicht das zugrunde liegende Problem. Die Schwachstelle ergibt sich aus der Verwendung reversibler Verschlüsselung für Passwörter, vorhersehbarem Schlüsselmaterial und einem IV, das weder zufällig noch unabhängig ist.

Auswirkungen

Eine erfolgreiche Ausnutzung kann es einem entfernten, nicht authentifizierten Angreifer ermöglichen:

• vertrauliche betriebliche und anwendungsbezogene Informationen abzurufen;
• gültige Benutzernamen und Infrastrukturdaten zu enumerieren;
• Klartext-Passwörter zu erlangen;
• privilegierte RPS-Konten zu kompromittieren;
• offengelegte Anmeldedaten gegen andere Dienste wiederzuverwenden, bei denen Passwörter weitergegeben wurden.

Behebung und Härtung

• Wenden Sie das vom Hersteller bereitgestellte Update oder die Gegenmaßnahme für RPS 2019 an.
• Entfernen Sie den öffentlichen Zugriff auf /RPS2019Service/status.html.
• Verlangen Sie eine starke Authentifizierung und Autorisierung für alle Diagnose-, Verwaltungs-, Status-, Health-, Debug- und Metrik-Endpunkte.
• Deaktivieren Sie die Debug-Protokollierung in der Produktion, wenn sie nicht unbedingt erforderlich ist.
• Schwärzen Sie Anmeldedaten, Authentifizierungsdaten und vollständige SQL-Abfragen in Protokollen.
• Speichern Sie Passwörter mit einer modernen, gesalzenen Einweg-Passwort-Hashfunktion wie Argon2id, scrypt oder bcrypt.
• Rotieren Sie alle Anmeldedaten, die in betroffenen Protokollen aufgetreten sein könnten.
• Prüfen Sie historische Zugriffsprotokolle auf Anfragen an die Statusseite sowie auf Protokoll-Downloads.
• Verhindern Sie die direkte Internet-Exposition von ERP-Verwaltungs- und Support-Schnittstellen.

Erkennungsmöglichkeiten

Verteidiger sollten Folgendes untersuchen:

• unerwartete Anfragen an /RPS2019Service/status.html;
• Anfragen, die Anwendungsprotokolle aktivieren, stoppen, löschen oder herunterladen;
• Zugriffe auf Status- oder Diagnose-Endpunkte aus nicht vertrauenswürdigen Netzwerken;
• ungewöhnliche Authentifizierungsereignisse nach Zugriff auf RPS-Protokolldateien;
• Wiederverwendung von RPS-Anmeldedaten gegen andere interne oder externe Dienste.

Offenlegung

Die Schwachstellen wurden von LABS @ ITRES während eines autorisierten offensiven Sicherheitsengagements entdeckt und über INCIBE-CERT mit CVE-Identifikatoren versehen.

Ein detaillierter technischer Bericht ist im ersten Beitrag der Old Dives-Serie verfügbar:

• Old Dives #01: Die RPS-Statusseite, die Passwörter zurückgab

Referenzen

• CVE-2023-3349 — NVD
• CVE-2023-3350 — NVD
• Mehrere Schwachstellen in IBERMATICA RPS 2019 — INCIBE-CERT
• LABS @ ITRES

Rechtlicher Hinweis

Die Informationen in diesem Repository sollen Organisationen dabei helfen, die dokumentierten Schwachstellen zu identifizieren, zu validieren und zu beheben. Die Autoren und Mitwirkenden sind nicht verantwortlich für Missbrauch oder Schäden, die aus der Verwendung dieses Materials entstehen.