abraxas/openmeetings-remember-me-passwordApache OpenMeetings 9.1.0 - Élevée - À distance - ATO - Le rejeu du cookie remember-me authentifie sans mot de passe
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
Classe : ATO Portée : À distance
Apache OpenMeetings 9.1.0. CVE-2026-33266 a corrigé la clé remember-me codée en dur (AES-GCM par instance). Le cookie LoggedIn contient toujours le nom d'utilisateur et le mot de passe. Case à cocher facultative credentials:rememberMe, désactivée par défaut. Un nouveau client muni uniquement de ce cookie devient l'utilisateur. Sans mot de passe. Sans JSESSIONID.
| ID | pas encore de CVE |
| Classe | ATO |
| Portée | À distance (cookie remember-me volé) |
| CWE | CWE-522, CWE-287 |
| CVSS | Élevé : 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| Produit | Apache OpenMeetings 9.1.0 |
| Authentification | cookie remember-me facultatif |
| Licence | GNU Affero GPL v3.0 |
| Labo | 127.0.0.1:18158 uniquement |
| Méthode | Point d'impact | Privilège |
|---|---|---|
Rejouer Cookie: LoggedIn | déchiffrement remember-me + signIn | Intégrité (prouvé en labo) : page principale authentifiée sans mot de passe. Le contrôle sans cookie reste sur la page de connexion. |
Déchiffrement hors ligne avec remember.me.key | charge utile AES-GCM | Reconnaissance (déduit) : octets du nom d'utilisateur et du mot de passe. Ce labo a rencontré InvalidTag lors d'un déchiffrement manuel ; le rejeu a néanmoins fonctionné. |
Corrigé : clé codée en dur (CVE-2026-33266). Case à cocher désactivée par défaut.
cd lab
./run.sh
Dernière ligne : SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
Correctif suggéré : stocker un jeton rotatif, pas le mot de passe. Effacer LoggedIn à la déconnexion. Marquer le cookie Secure. Ignorer remember-me lorsqu'un OTP est activé.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Fournisseur : [email protected]