CVE-2022-24637 — Open Web Analytics (antérieur à 1.7.4)

Notes défensives sur une vulnérabilité critique de divulgation d'informations non authentifiée dans Open Web Analytics (OWA) pouvant mener à une élévation de privilèges.

Rencontrée lors du travail sur la machine Fruityloops sur echoCTF, qui exécutait Open Web Analytics 1.7.3.

Résumé

Champ	Détail
CVE	CVE-2022-24637
Produit	Open Web Analytics
Affecté	Versions antérieures à 1.7.4 (y compris 1.7.3)
Corrigé dans	1.7.4 et versions ultérieures
Sévérité	Critique
Avis	GHSA-pr9q-v585-qv2w

Des attaquants distants non authentifiés peuvent obtenir des informations sensibles sur les utilisateurs à partir de la gestion du cache d'OWA. Ces données peuvent être exploitées pour élever les privilèges jusqu'au niveau administrateur. Dans certains cas, cela a été enchaîné pour compromettre davantage l'hôte.

Impact

• Exposition de données sensibles liées aux comptes
• Voie vers une élévation de privilèges administrateur
• Compromission plus large si enchaînée avec d'autres faiblesses

Atténuation

1. Mettre à niveau Open Web Analytics vers 1.7.4 ou une version ultérieure. C'est le correctif principal.
2. Restreindre l'accès aux répertoires de cache et autres données sensibles afin qu'ils ne soient pas servis comme fichiers statiques via HTTP.
3. Vider les caches existants après le correctif afin que les artefacts précédemment générés ne restent pas exposés.
4. Examiner les comptes administrateurs, renouveler les identifiants/clés API en cas de suspicion d'exposition, et vérifier les journaux pour détecter toute utilisation abusive.

Références

• NVD — CVE-2022-24637
• Avis GitHub GHSA-pr9q-v585-qv2w
• Résumé de vulnérabilité Wiz
• Notes de version d'Open Web Analytics / chemin de mise à niveau pour 1.7.4+

Portée de ce dépôt

Ce dépôt documente la CVE à des fins de sensibilisation et de remédiation uniquement. Il ne contient pas de code d'exploitation, de charges utiles ni d'étapes de reproduction.