abraxas/openmeetings-invite-recording-aclApache OpenMeetings 9.1.0 - Alta - Remota - IDOR - Type.USER invitación grabación MP4 ACL
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-invite-recording-acl
Clase: IDOR Alcance: Remoto
Apache OpenMeetings 9.1.0. CVE-2023-29032 dejó de copiar Wicket ADMIN en WebSession.rights. checkHashes sigue haciendo setUser(invitation.getInvitee(), hrights). La ACL de las grabaciones MP4 se basa en ownerId == getUserId(). Una invitación de calendario cuyo invitado es Type.USER abre las grabaciones de ese usuario. Los invitados CONTACT quedan fuera.
| ID | aún sin CVE |
| Clase | IDOR |
| Alcance | Remoto (hash de invitación, sin contraseña) |
| CWE | CWE-639 |
| CVSS | Alto: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Producto | Apache OpenMeetings 9.1.0 |
| Autenticación | Hash de invitación Type.USER |
| Licencia | GNU Affero GPL v3.0 |
| Laboratorio | solo 127.0.0.1:18156 |
| Método | Sumidero | Privilegio |
|---|---|---|
GET /hash?invitation= sin autenticación y luego GET /recordings/mp4/{id} | WebSession.checkHashes setUser(invitee) + ACL del propietario de la grabación | Reconocimiento (probado en laboratorio): bytes MP4. Laboratorio: HTTP 200 video/mp4, testigo en el cuerpo. Sin autenticación y sin hash 404. Hash CONTACT 404. |
Cerrado: canje con comodín LIKE (CVE-2023-28936). Invitados CONTACT de Generate-URL. Copia de Wicket ADMIN desde la invitación.
cd lab
./run.sh
Última línea: SUCCESS OPENMEETINGS-INVITE-RECORDING-WITNESS
Corrección sugerida: las sesiones de invitación conservan solo {ROOM}. La ACL de grabaciones no debe tratar el userId del invitado como propietario.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Proveedor: [email protected]