CVE-2023-31445-Unprivileged-Information-Disclosure

इस रिपॉजिटरी में Dodge Industrial Team द्वारा Dodge OPTIFY प्लेटफॉर्म के लिए खोजे गए CVE-2023-31445 का विवरण शामिल है।

---

CVE आईडी: CVE-2023-31445
विक्रेता: Cassia Networks
उत्पाद: Access Controller
संस्करण: Cassia-AC-2.1.1.2203171453

---

कमजोरी: अनप्रिविलेज्ड सूचना प्रकटीकरण
प्रभावित: लॉग, उपयोगकर्ता डेटा
विवरण: पढ़ने-मात्र वाले उपयोगकर्ता सभी अन्य उपयोगकर्ताओं की गणना करने और ईमेल पते, फोन नंबर और सभी अन्य उपयोगकर्ताओं के विशेषाधिकार जैसी जानकारी प्रकट करने की क्षमता रखते हैं। इससे लक्षित ईमेल अभियान और सोशल इंजीनियरिंग हमलों जैसे आगे के कदम उठाए जा सकते हैं।
स्थिति: विक्रेता द्वारा पुष्टि, ठीक किया गया
पैच किया गया संस्करण: Cassia-AC-2.1.1.2207292123

---

विवरण

प्रशासक खाते में Access Controller में पंजीकृत सभी उपयोगकर्ताओं का डेटा देखने के विशेषाधिकार हैं, उदाहरण के लिए:

पढ़ने-मात्र उपयोगकर्ता केवल स्वयं को देख सकता है:

खाता संपादित करने से /admin/(userId)/edit कॉल होता है, जहाँ Id UserId है:

अनुमतियों और वास्तविक userId के बीच कोई सत्यापन नहीं है जिसका उपयोग पढ़ने-मात्र उपयोगकर्ता अनुरोध में करता है।
यह पढ़ने-मात्र उपयोगकर्ता को प्रशासनिक पहुंच के बिना सभी अन्य उपयोगकर्ताओं की गणना करने की अनुमति देता है। इसे अनप्रिविलेज्ड सूचना प्रकटीकरण माना जाता है।
इसे ब्रूटफोर्सिंग द्वारा प्राप्त किया जा सकता है।
इसके अलावा, Id का आसानी से अनुमान लगाया जा सकता है क्योंकि यह सटीक उपयोगकर्ता निर्माण तिथि का UNIX समय प्रारूप है - जो लॉग से प्राप्त किया जा सकता है जो सभी पढ़ने-मात्र उपयोगकर्ता के लिए भी दृश्यमान हैं।

---

शोषण

हर गतिविधि परीक्षक (पढ़ने-मात्र उपयोगकर्ता) के संदर्भ से की जाती है।

1. लॉग से खाता निर्माण के बारे में जानकारी एकत्र करें

2. डेटा को UNIX प्रारूप में बदलें

PoC से तालिका

नोट! UNIX टाइमस्टैम्प और निर्दिष्ट Id (+-1) के बीच थोड़ा अंतर हो सकता है, यह सर्वर की गति और प्रसंस्करण संसाधनों के वर्तमान अधिभोग पर निर्भर करता है।

3. API एंडपॉइंट की गणना करें
   इस PoC में Burp का उपयोग किया गया
   

4. गणना चलाएं और परिणाम एकत्र करें

समाधान

• Cassia Networks पर उपलब्ध उच्चतम संभव संस्करण में पैच करें