Produit concerné

• Produit : IBERMATICA RPS
• Version concernée : RPS 2019
• Composant : fonctionnalités d'état et de journalisation du service RPS 2019

Chaîne d'attaque

1. Accéder à la page d'état RPS exposée sans authentification.
2. Activer la journalisation de l'application via les commandes disponibles sur la page d'état.
3. Déclencher ou attendre une activité d'authentification.
4. Télécharger le fichier journal généré.
5. Extraire les noms d'utilisateur et les valeurs de mots de passe chiffrées des requêtes SQL journalisées.
6. Dériver le matériel de clé AES du nom d'utilisateur correspondant.
7. Déchiffrer la valeur stockée et récupérer le mot de passe en clair.

Aucune injection SQL, force brute de mot de passe ou compte applicatif préalable n'est requise pour cette chaîne.

Notes techniques

L'investigation a identifié les conditions suivantes :

• Les journaux de débogage contiennent des requêtes SQL complètes liées à l'authentification.
• Les tentatives de connexion avec des noms d'utilisateur inexistants peuvent journaliser le mot de passe fourni en clair.
• Les mots de passe des utilisateurs existants apparaissent comme du texte chiffré encodé en Base64 dans les requêtes SQL.
• Le schéma de chiffrement utilise AES-128 en mode CBC.
• La clé et le vecteur d'initialisation sont dérivés de manière déterministe du nom d'utilisateur et complétés à 16 octets avec un caractère fixe.
• La même valeur prévisible est utilisée à la fois comme clé et comme IV.

AES n'est pas le problème sous-jacent en soi. La vulnérabilité résulte de l'utilisation d'un chiffrement réversible pour les mots de passe, d'un matériel de clé prévisible et d'un IV qui n'est ni aléatoire ni indépendant.

Impact

Une exploitation réussie peut permettre à un attaquant distant non authentifié de :

• récupérer des informations opérationnelles et applicatives sensibles ;
• énumérer les noms d'utilisateur valides et les détails de l'infrastructure ;
• obtenir des mots de passe en clair ;
• compromettre des comptes RPS privilégiés ;
• réutiliser les identifiants exposés contre d'autres services où les mots de passe ont été partagés.

Remédiation et durcissement

• Appliquer la mise à jour ou l'atténuation fournie par l'éditeur pour RPS 2019.
• Supprimer l'accès public à /RPS2019Service/status.html.
• Exiger une authentification et une autorisation fortes pour tous les points de terminaison de diagnostic, d'administration, d'état, de santé, de débogage et de métriques.
• Désactiver la journalisation de débogage en production lorsqu'elle n'est pas strictement nécessaire.
• Expurger les identifiants, les données d'authentification et les requêtes SQL complètes des journaux.
• Stocker les mots de passe avec une fonction de hachage de mot de passe moderne, salée et à sens unique telle qu'Argon2id, scrypt ou bcrypt.
• Effectuer la rotation de tous les identifiants qui ont pu apparaître dans les journaux concernés.
• Examiner les journaux d'accès historiques pour les requêtes vers la page d'état et les téléchargements de journaux.
• Empêcher l'exposition directe des interfaces de gestion et de support ERP sur Internet.

Opportunités de détection

Les défenseurs devraient examiner :

• les requêtes inattendues vers /RPS2019Service/status.html ;
• les requêtes qui activent, arrêtent, suppriment ou téléchargent des journaux d'application ;
• les accès aux points de terminaison d'état ou de diagnostic depuis des réseaux non fiables ;
• les événements d'authentification inhabituels suite à l'accès aux fichiers journaux RPS ;
• la réutilisation d'identifiants RPS contre d'autres services internes ou externes.

Divulgation

Les problèmes ont été découverts par LABS @ ITRES lors d'un engagement de sécurité offensive autorisé et ont reçu des identifiants CVE via INCIBE-CERT.

Une analyse technique détaillée est disponible dans la première entrée de la série Old Dives :

• Old Dives #01 : La page d'état RPS qui rendait les mots de passe

Références

• CVE-2023-3349 — NVD
• CVE-2023-3350 — NVD
• Multiples vulnérabilités dans IBERMATICA RPS 2019 — INCIBE-CERT
• LABS @ ITRES

Avis juridique

Les informations contenues dans ce dépôt visent à aider les organisations à identifier, valider et corriger les vulnérabilités documentées. Les auteurs et contributeurs ne sont pas responsables des mauvais usages ou des dommages résultant de l'utilisation de ce matériel.