abraxas/openmeetings-soap-otp-skipApache OpenMeetings 9.1.0 - उच्च - रिमोट - 2FA स्किप - SOAP/REST पासवर्ड लॉगिन TOTP को छोड़ देता है
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-soap-otp-skip
वर्ग: 2FA स्किप पहुँच: रिमोट
Apache OpenMeetings 9.1.0। जब otp.enabled true होता है, तो TOTP केवल Wicket SignInDialog.processOtp में चलता है। UserWebService.login में पहले पासवर्ड फिर sessionDao.create होता है। SOAP/REST बिना किसी OTP फ़ील्ड के SID बनाते हैं। डिफ़ॉल्ट otp.enabled false है। लैब इसे चालू करती है।
| ID | अभी तक कोई CVE नहीं |
| वर्ग | 2FA स्किप |
| पहुँच | रिमोट (पासवर्ड, बिना OTP) |
| CWE | CWE-287, CWE-304 |
| CVSS | उच्च: 8.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| उत्पाद | Apache OpenMeetings 9.1.0 with otp.enabled=true |
| प्रमाणीकरण | नामांकित उपयोगकर्ता का पासवर्ड |
| लाइसेंस | GNU Affero GPL v3.0 |
| लैब | केवल 127.0.0.1:18157 |
| विधि | सिंक | विशेषाधिकार |
|---|---|---|
POST /services/user/login केवल user/pass | UserWebService.login (UserWebService.java:135-143) | अखंडता (लैब-प्रमाणित): बिना OTP के SID। लैब: उस SID के साथ कैलेंडर सहेजने पर साक्षी संग्रहीत हुआ। |
| केवल Wicket पासवर्ड (नियंत्रण) | SignInDialog.processOtp | Wicket पर बंद: OTP चुनौती दिखाई गई, कोई डैशबोर्ड नहीं। |
बंद: डिफ़ॉल्ट otp.enabled=false (यह अवशेष सक्षम परिनियोजन है)। LDAP सर्च-फ़िल्टर इंजेक्शन (OPENMEETINGS-2808)।
cd lab
./run.sh
अंतिम पंक्ति: SUCCESS OPENMEETINGS-SOAP-OTP-SKIP-WITNESS
सुझाया गया समाधान: जब उपयोगकर्ता के पास TOTP सीक्रेट हो तो UserWebService.login और JAX-WS लॉगिन में OtpManager.verify को कॉल करें। यदि OTP सक्षम है और अनुरोध में कोई कोड नहीं है तो फेल क्लोज़्ड करें।
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
विक्रेता: [email protected]