CVE-2023-31445-Divulgation-d'informations-non-privilégiée

Le dépôt contient la description de la CVE-2023-31445 découverte par Dodge Industrial Team pour la plateforme Dodge OPTIFY.

---

Identifiant CVE : CVE-2023-31445
Fournisseur : Cassia Networks
Produit : Access Controller
Version : Cassia-AC-2.1.1.2203171453

---

Vulnérabilité : Divulgation d'informations non privilégiée
Affecté : logs, données utilisateurs
Description : Les utilisateurs en lecture seule ont la capacité d'énumérer tous les autres utilisateurs et de divulguer des informations telles que les adresses e-mail, les numéros de téléphone et les privilèges de tous les autres utilisateurs. Cela peut conduire à d'autres étapes comme des campagnes e-mail ciblées et des attaques d'ingénierie sociale.
Statut : Confirmé par le fournisseur, corrigé
Version corrigée : Cassia-AC-2.1.1.2207292123

---

Détails

Le compte administrateur a les privilèges de voir les données de tous les utilisateurs enregistrés dans Access Controller, par exemple :

L'utilisateur en lecture seule ne peut voir que lui-même :

Edit Account invoque /admin/(userId)/edit, où Id correspond au UserId :

Il n'y a aucune validation entre les permissions et le userId réel que l'utilisateur en lecture seule utilise dans la requête.
Cela permet à l'utilisateur en lecture seule d'énumérer tous les autres utilisateurs sans accès administratif. Ceci est considéré comme une divulgation d'informations non privilégiée.
Cela peut être réalisé par force brute.
De plus, l'Id peut être facilement deviné car il s'agit du format de temps UNIX de la date exacte de création de l'utilisateur

• ce qui peut être obtenu à partir des logs qui sont également visibles pour l'utilisateur en lecture seule.

---

Exploitation

Chaque activité est effectuée depuis le contexte du testeur (utilisateur en lecture seule).

1. Recueillir les informations sur la création de compte à partir des logs

2. Convertir les données au format UNIX

Tableau du PoC

Note ! Il peut y avoir une légère variation entre le timestamp UNIX et l'Id attribué (+-1)
cela dépend de la vitesse du serveur et de l'occupation actuelle des ressources de traitement.

3. Énumérer le point de terminaison API
   Burp a été utilisé dans ce PoC
   

4. Exécuter l'énumération et recueillir les résultats

Correction

• Mettre à jour vers la version la plus élevée disponible sur Cassia Networks