CVE-2025-25749 - HotelDruid 3.0.7 में कमज़ोर पासवर्ड नीति
विवरण
HotelDruid संस्करण 3.0.7 और इससे पहले के संस्करणों में एक कमज़ोरी है जो उपयोगकर्ताओं को कमज़ोर पासवर्ड सेट करने की अनुमति देती है, क्योंकि पासवर्ड मजबूती नीतियों का पालन नहीं किया जाता है।
प्रभाव
- कमज़ोर पासवर्ड स्वीकार किए जाते हैं: हमलावर सरल पासवर्ड का अनुमान लगा सकते हैं या उच्च सफलता दर के साथ क्रेडेंशियल-स्टफिंग हमलों का उपयोग कर सकते हैं।
- क्रेडेंशियल पुन: उपयोग जोखिम: यदि उपयोगकर्ता सिस्टम में पासवर्ड का पुन: उपयोग करते हैं, तो हमलावर लीक हुए क्रेडेंशियल का शोषण कर सकते हैं।
- कोई पासवर्ड एजिंग नहीं: पता लगाने से बचने के लिए बार-बार पासवर्ड बदलना संभव है।
- बढ़ी हुई हमले की सतह: रिफ्लेक्टेड XSS (CVE-2025-25747) जैसी कमज़ोरियों के साथ मिलकर, यह प्रारंभिक पैठ हासिल करना आसान बनाता है।
जोखिम सारांश
बुनियादी पासवर्ड सुरक्षा नियंत्रणों की अनुपस्थिति HotelDruid की समग्र सुरक्षा को कमजोर करती है और उपयोगकर्ता खातों — प्रशासक खातों सहित — को समझौता करने के लिए अत्यधिक संवेदनशील बनाती है।
प्रूफ ऑफ कॉन्सेप्ट (PoC)
उदाहरण परीक्षण मामले (प्रत्यक्ष साक्ष्य)
केस 1 - कमज़ोर पासवर्ड स्वीकार किया गया
- कार्रवाई: पासवर्ड
12345 पर सेट करें।
- परिणाम: बिना किसी चेतावनी के स्वीकार किया गया।
केस 2 - सामान्य पासवर्ड स्वीकार किया गया
- कार्रवाई: पासवर्ड
admin पर सेट करें।
- परिणाम: बिना किसी चेतावनी के स्वीकार किया गया।
केस 3 - पिछले पासवर्ड का पुन: उपयोग
- कार्रवाई: पासवर्ड को
password पर सेट करें, फिर password123 पर बदलें, और फिर वापस password पर।
- परिणाम: पुन: उपयोग किया गया पासवर्ड बिना किसी प्रतिबंध के स्वीकार किया गया।
केस 4 - तेज़ी से पासवर्ड बदलना
- कार्रवाई: एक मिनट के भीतर 5 बार पासवर्ड बदलें।
- परिणाम: सभी परिवर्तन बिना किसी प्रतिबंध के अनुमत हैं।
स्वचालित परीक्षण स्क्रिप्ट
इन जांचों को स्वचालित करने के लिए एक कस्टम स्क्रिप्ट विकसित की गई थी, जो सत्यापित करती है:
- कोई जटिलता आवश्यकताएँ नहीं।
- कोई न्यूनतम लंबाई प्रवर्तन नहीं।
- कोई पासवर्ड इतिहास जाँच नहीं।
- कोई न्यूनतम पासवर्ड आयु प्रतिबंध नहीं।
यह स्क्रिप्ट अनुरोध पर साझा की जा सकती है।
विश्लेषण
पृष्ठभूमि
HotelDruid एक लोकप्रिय ओपन-सोर्स प्रॉपर्टी मैनेजमेंट सॉफ्टवेयर है जिसका उपयोग होटल और किराये के आरक्षण, बिलिंग और ग्राहक प्रबंधन के लिए किया जाता है। इसे ऑन-प्रिमाइसेस और ऑनलाइन दोनों तरह से तैनात किया जाता है, जिसका अर्थ है कि खाता सुरक्षा महत्वपूर्ण है, विशेष रूप से प्रशासनिक उपयोगकर्ताओं के लिए जिनके पास वित्तीय डेटा और ग्राहक जानकारी पर नियंत्रण होता है।
आधुनिक वेब एप्लिकेशन से कम से कम बुनियादी पासवर्ड नीतियों को लागू करने की अपेक्षा की जाती है ताकि क्रेडेंशियल-आधारित हमलों के जोखिम को कम किया जा सके। जो एप्लिकेशन कमज़ोर पासवर्ड की अनुमति देते हैं, वे सीधे अपनी स्वयं की सुरक्षा स्थिति को कमजोर करते हैं, जिससे अन्य सभी सुरक्षा उपाय कम प्रभावी हो जाते हैं।
कमज़ोरी विवरण
यह कमज़ोरी HotelDruid संस्करण 3.0.7 में किसी भी सार्थक पासवर्ड आवश्यकताओं की पूर्ण अनुपस्थिति से उत्पन्न होती है। उपयोगकर्ता निर्माण, पासवर्ड परिवर्तन और प्रशासनिक खाता प्रबंधन के दौरान, एप्लिकेशन इसकी अनुमति देता है:
- अत्यंत कमज़ोर पासवर्ड (जैसे,
12345, aaaaa, password)।
- कई सेवाओं में उपयोग किए जाने वाले सामान्य पासवर्ड।
- कोई पासवर्ड लंबाई आवश्यकता नहीं।
- पहले उपयोग किए गए पासवर्ड का पुन: उपयोग।
- छोटी अवधि के भीतर तेज़ और असीमित पासवर्ड परिवर्तन।
- पासवर्ड मजबूती पर उपयोगकर्ताओं को कोई फीडबैक नहीं।
हमले के परिदृश्य
- ब्रूट फोर्स हमला: हमलावर बहुत उच्च सफलता दर के साथ उपयोगकर्ता खातों के विरुद्ध सामान्यतः उपयोग किए जाने वाले पासवर्ड आज़मा सकते हैं।
- क्रेडेंशियल स्टफिंग: यदि कोई उपयोगकर्ता किसी अन्य सेवा से समझौता किए गए पासवर्ड का पुन: उपयोग करता है, तो इसका उपयोग HotelDruid तक पहुँच प्राप्त करने के लिए किया जा सकता है।
- विशेषाधिकार वृद्धि समर्थन: एक बार कम-विशेषाधिकार वाले खाते से समझौता हो जाने पर, हमलावर अतिरिक्त हमलों के माध्यम से प्रशासनिक खाते तक विशेषाधिकार बढ़ाने का प्रयास कर सकते हैं।
- संयोजन हमला: अन्य कमज़ोरियों (जैसे CVE-2025-25747) के साथ मिलकर, यह हमलावरों के लिए एक आसान प्रवेश बिंदु प्रदान करता है।
शमन / पैचिंग
अनुशंसाएँ
पासवर्ड जटिलता आवश्यकताओं को लागू करें
कम से कम आवश्यकता हो:
- एक अपरकेस अक्षर
- एक लोअरकेस अक्षर
- एक संख्या
- एक विशेष वर्ण
- न्यूनतम 8 वर्णों की लंबाई।
पासवर्ड इतिहास प्रतिबंध लागू करें
- पिछले 5 पासवर्डों के पुन: उपयोग को रोकें।
न्यूनतम पासवर्ड आयु लागू करें
- तेज़ चक्र को रोकने के लिए पासवर्ड परिवर्तनों के बीच कम से कम 24 घंटे की आवश्यकता हो।
रीयल-टाइम पासवर्ड मजबूती फीडबैक
- उपयोगकर्ताओं को पासवर्ड बनाते या बदलते समय फीडबैक प्रदान करें, जिससे उन्हें पासवर्ड मजबूती समझने में मदद मिले।
डिफ़ॉल्ट प्रशासनिक क्रेडेंशियल समीक्षा
- प्रारंभिक स्थापना के दौरान प्रशासनिक खातों पर मजबूत क्रेडेंशियल का ऑडिट करें और लागू करें।
वैकल्पिक संवर्द्धन
- बाहरी प्रमाणीकरण प्रदाताओं (SSO, LDAP) को एकीकृत करने पर विचार करें।
- यदि संभव हो तो बहु-कारक प्रमाणीकरण (MFA) को दृढ़ता से प्रोत्साहित करें।
समयरेखा और श्रेय
- खोज तिथि: 16 जनवरी, 2025
- विक्रेता सूचना: 17 जनवरी, 2025
- MITRE CVE असाइनमेंट: CVE-2025-25747, 27 फरवरी, 2025
- सार्वजनिक प्रकटीकरण: 7 मार्च, 2025
- शोधकर्ता: Huy Vo (सुरक्षा शोधकर्ता)
huyvo2910/cve-2025-25749-weak-password-policy-in-hoteldruid-3.0.7
