Persistenza della sessione dopo l'attivazione del 2FA

Panoramica

L'applicazione Nagios Fusion (versioni 2024R1.2 e 2024R2) presenta un grave difetto di sicurezza per cui le sessioni esistenti rimangono valide anche dopo l'attivazione dell'autenticazione a due fattori (2FA). In particolare, quando il 2FA viene abilitato per un account amministratore, l'applicazione non riesce a invalidare tutte le sessioni attive stabilite prima dell'attivazione del 2FA. Ciò consente a un attaccante o a un utente non autorizzato con accesso a una sessione precedente di bypassare il meccanismo 2FA e compiere azioni non autorizzate.

Sono stati osservati i seguenti problemi:

Persistenza della sessione: le sessioni create prima dell'attivazione del 2FA rimangono valide senza richiedere il fattore di autenticazione aggiuntivo.

Escalation dei privilegi non autorizzata: utilizzando queste vecchie sessioni, gli attaccanti possono modificare dettagli cruciali dell'account o eseguire azioni amministrative senza la convalida del 2FA.

Questa vulnerabilità deriva dalla mancanza di invalidazione della sessione durante il processo di abilitazione del 2FA, con conseguente fallimento dell'applicazione nell'applicare il meccanismo di sicurezza aggiuntivo per le sessioni precedenti.

Gravità

Gravità: Alta
CWE: CWE-613 (primaria); CWE-287 (secondaria)
Punteggio CVSS (v3.0): 7.3 Alto
Vettore CVSS: AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Componenti interessati

Gateway di autenticazione / Servizio di sessione: logica di emissione, convalida e revoca delle sessioni.
Motore di registrazione 2FA e policy: logica che aggiorna il livello di garanzia di un account senza revocare i token esistenti.
Frontend web / API: controlli di autorizzazione che si basano sullo stato di sessione precedente.
Gestione dispositivi: archivio dei dispositivi ricordati / sessioni attendibili (cookie, token di aggiornamento, sessioni lato server).

Fornitore/Prodotto interessato

Nome prodotto - Nagios Fusion
Versione interessata: 2024R1.2 e 2024R2
Versione corretta: 2024R2.1

Riepilogo del problema

Cosa succede:

L'utente abilita il 2FA sul proprio account (TOTP/SMS/push/webauthn).
Il server aggiorna lo stato MFA/garanzia dell'utente ma non invalida né richiede una nuova sfida per le sessioni esistenti.
Tutte le sessioni attive (incluse quelle su client controllati dall'attaccante) continuano a operare con il contesto pre-2FA, bypassando di fatto l'innalzamento del controllo previsto.

Divario di postura di sicurezza: abilitare il 2FA è un cambiamento del perimetro di sicurezza. La mancata imposizione dell'aggiornamento della sessione (ri-autenticazione + 2FA) e la revoca delle sessioni precedenti annulla la riduzione del rischio del controllo.

Scenari di abuso realistici:

Un attaccante con un cookie di sessione rubato mantiene l'accesso dopo l'attivazione del 2FA e può esfiltrare dati o modificare le impostazioni dell'account.
Un chiosco condiviso o un dispositivo non gestito mantiene una sessione attiva che bypassa il nuovo requisito MFA.

Raccomandazioni per la mitigazione

Al momento della registrazione del 2FA o del ripristino del fattore, revocare tutte le sessioni esistenti (token di accesso + aggiornamento) su tutti i dispositivi e richiedere una nuova autenticazione primaria + 2FA.
Ruotare i segreti di sessione (ad esempio, cambiare le chiavi di firma o aumentare la versione della sessione lato server) per invalidare i token obsoleti.
Impostare maxAge e idleTimeout a valori ragionevoli; ridurre le sessioni di lunga durata.

Cronologia della divulgazione

[04-01-2025]: Vulnerabilità scoperta
[04-01-2025]: Segnalata al fornitore
[10-01-2025]: Il fornitore ha verificato la vulnerabilità
[23-07-2025]: Il fornitore ha corretto la vulnerabilità con una nuova release
[16-08-2025]: Richiesta di CVE
[23-10-2025]: Assegnazione CVE

📌 Questo repository è destinato esclusivamente alla segnalazione di vulnerabilità e al riferimento CVE.

Session-Persistence-After-Enabling-2FA-CVE-2025-60425

Più Popolari