CVE-2020-12712: SOS JobScheduler में संग्रहीत पासवर्ड का डिक्रिप्शन

इस रिपॉजिटरी में मौजूद स्क्रिप्ट आपको JobScheduler इंस्टेंस के लिए (S)FTP कॉन्फ़िगरेशन फ़ाइल में संग्रहीत पासवर्ड को डिक्रिप्ट करने की अनुमति देती है।

विवरण

SOS JobScheduler रिमोट सिस्टम प्रशासन के लिए एक टूल है जो उपयोगकर्ताओं को वेब इंटरफ़ेस के माध्यम से मेंटेनेंस स्क्रिप्ट कॉल करने की अनुमति देता है। यह टूल (S)FTP के माध्यम से रिमोट सिस्टम पर मेंटेनेंस स्क्रिप्ट रखता है। यह उपयोगकर्ता को इन कनेक्शनों के लिए प्रोफ़ाइल सहेजने की अनुमति देता है, जिसमें (S)FTP कनेक्शन का पासवर्ड वैकल्पिक रूप से संग्रहीत किया जाता है। जब उपयोगकर्ता प्रोफ़ाइल के साथ पासवर्ड संग्रहीत करना चुनता है, तो इसे प्रोफ़ाइल के नाम का उपयोग करके एन्क्रिप्शन कुंजी के रूप में एन्क्रिप्ट किया जाता है। चूंकि प्रोफ़ाइल का नाम उसी कॉन्फ़िगरेशन फ़ाइल में संग्रहीत होता है, इसलिए प्लेनटेक्स्ट (S)FTP पासवर्ड आसानी से पुनर्प्राप्त किया जा सकता है। उपयोग किया जाने वाला एन्क्रिप्शन एल्गोरिदम ट्रिपल DES (3DES) है जिसमें तीन कुंजियाँ होती हैं, जिसके लिए 24 बाइट्स की कुंजी लंबाई आवश्यक होती है। प्रोफ़ाइल नाम को इस लंबाई तक पैड किया जाता है ताकि कुंजी बनाई जा सके। अंत में, एन्क्रिप्टेड पासवर्ड को कॉन्फ़िगरेशन फ़ाइल में संग्रहीत करने से पहले बेस64 एन्कोड किया जाता है।

उपयोग

python jobscheduler-decrypt.py [बेस64 में एन्क्रिप्टेड पासवर्ड] [प्रोफ़ाइल नाम]