abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  openmeetings-remember-me-password

openmeetings-remember-me-password

Clase: ATO Alcance: Remoto

Apache OpenMeetings 9.1.0. CVE-2026-33266 cerró la clave hardcodeada de remember-me (AES-GCM por instancia). La cookie LoggedIn todavía contiene usuario+contraseña. Casilla opcional credentials:rememberMe, desactivada por defecto. Un nuevo cliente con solo esa cookie se convierte en el usuario. Sin contraseña. Sin JSESSIONID.

ID	aún sin CVE
Clase	ATO
Alcance	Remoto (cookie remember-me robada)
CWE	CWE-522, CWE-287
CVSS	Alto: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Producto	Apache OpenMeetings 9.1.0
Autenticación	cookie remember-me opcional
Licencia	GNU Affero GPL v3.0
Laboratorio	solo 127.0.0.1:18158

Qué puede hacer un atacante

Método	Destino	Privilegio
Repetir Cookie: LoggedIn	descifrado remember-me + signIn	Integridad (probado en laboratorio): página principal autenticada sin contraseña. El control sin cookie permanece en el inicio de sesión.
Descifrado offline con remember.me.key	carga útil AES-GCM	Reconocimiento (inferido): bytes de usuario+contraseña. Este laboratorio obtuvo InvalidTag en un descifrado manual; la repetición aun así funcionó.

Cerrado: clave hardcodeada (CVE-2026-33266). Casilla desactivada por defecto.

Laboratorio

cd lab
./run.sh

Última línea: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS

Corrección sugerida: almacenar un token rotativo, no la contraseña. Borrar LoggedIn al cerrar sesión. Marcar la cookie como Secure. Omitir remember-me cuando OTP esté inscrito.

Contacto

Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]

Proveedor: [email protected]