abraxas/openmeetings-invite-recording-aclApache OpenMeetings 9.1.0 - Élevé - À distance - IDOR - Type.USER invitation enregistrement MP4 ACL
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-invite-recording-acl
Classe : IDOR Portée : Distante
Apache OpenMeetings 9.1.0. CVE-2023-29032 a cessé de copier Wicket ADMIN dans WebSession.rights. checkHashes fait toujours setUser(invitation.getInvitee(), hrights). L'ACL des enregistrements MP4 repose sur ownerId == getUserId(). Une invitation de calendrier dont l'invité est de Type.USER ouvre les enregistrements de cet utilisateur. Les invités CONTACT restent exclus.
| ID | pas encore de CVE |
| Classe | IDOR |
| Portée | Distante (hash d'invitation, sans mot de passe) |
| CWE | CWE-639 |
| CVSS | Élevé : 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Produit | Apache OpenMeetings 9.1.0 |
| Auth | hash d'invitation Type.USER |
| Licence | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1:18156 uniquement |
| Méthode | Point d'impact | Privilège |
|---|---|---|
GET /hash?invitation= non authentifié puis GET /recordings/mp4/{id} | WebSession.checkHashes setUser(invitee) + ACL du propriétaire de l'enregistrement | Reconnaissance (prouvée en lab) : octets MP4. Lab : HTTP 200 video/mp4, témoin dans le corps. Non authentifié sans hash 404. Hash CONTACT 404. |
Fermé : utilisation de joker LIKE (CVE-2023-28936). Invités CONTACT Generate-URL. Copie Wicket ADMIN depuis l'invitation.
cd lab
./run.sh
Dernière ligne : SUCCESS OPENMEETINGS-INVITE-RECORDING-WITNESS
Correctif suggéré : les sessions d'invitation ne conservent que {ROOM}. L'ACL des enregistrements ne doit pas traiter le userId de l'invité comme propriétaire.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Fournisseur : [email protected]