abraxas/openmeetings-remember-me-passwordApache OpenMeetings 9.1.0 - Alta - Remoto - ATO - il replay del cookie remember-me autentica senza password
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
Classe: ATO Portata: Remota
Apache OpenMeetings 9.1.0. CVE-2026-33266 ha chiuso la chiave remember-me hardcoded (AES-GCM per istanza). Il cookie LoggedIn contiene ancora username+password. Checkbox opt-in credentials:rememberMe, disattivata per impostazione predefinita. Un nuovo client con solo quel cookie diventa l'utente. Nessuna password. Nessun JSESSIONID.
| ID | nessuna CVE al momento |
| Classe | ATO |
| Portata | Remota (cookie remember-me rubato) |
| CWE | CWE-522, CWE-287 |
| CVSS | Alto: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| Prodotto | Apache OpenMeetings 9.1.0 |
| Autenticazione | cookie remember-me opt-in |
| Licenza | GNU Affero GPL v3.0 |
| Lab | solo 127.0.0.1:18158 |
| Metodo | Sink | Privilegio |
|---|---|---|
Replay di Cookie: LoggedIn | decifratura remember-me + signIn | Integrità (dimostrata in lab): pagina principale autenticata senza password. Il controllo senza cookie resta sulla pagina di accesso. |
Decifratura offline con remember.me.key | payload AES-GCM | Ricognizione (dedotta): byte di username+password. Questo lab ha riscontrato InvalidTag su una decifratura manuale; il replay ha comunque funzionato. |
Chiuso: chiave hardcoded (CVE-2026-33266). Checkbox disattivata per impostazione predefinita.
cd lab
./run.sh
Ultima riga: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
Correzione suggerita: memorizzare un token a rotazione, non la password. Cancellare LoggedIn al logout. Contrassegnare il cookie come Secure. Saltare il remember-me quando è registrato un OTP.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Fornitore: [email protected]