Apache OpenMeetings 9.1.0 - Alta - Remoto - Privilegi residui - SOAP POST /user copia UserDTO.rights incluso ADMIN
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-soap-user-rights
Classe: Privilegio residuo Portata: Remota
Apache OpenMeetings 9.1.0. La SOAP POST /user/ copia UserDTO.rights ed effettua l'aggiornamento tramite id. La SOAP è l'account di integrazione LMS. Dovrebbe rimanere al di sotto di ADMIN. UserMapper esegue userDao.get(dto.getId()) e poi u.setRights(dto.getRights()). UserWebService.add aggiunge ROOM/LOGIN/DASHBOARD e non rimuove mai ADMIN.
| ID | nessuna CVE al momento |
| Classe | Privilegio residuo |
| Portata | Remota (SID SOAP) |
| CWE | CWE-269, CWE-280 |
| CVSS | Alto: 8.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Prodotto | Apache OpenMeetings 9.1.0 |
| Autenticazione | Right.SOAP (non ADMIN) |
| Licenza | GNU Affero GPL v3.0 |
| Lab | solo 127.0.0.1:18152 |
| Metodo | Sink | Privilegio |
|---|---|---|
SOAP POST /services/user/?sid= rights=["ADMIN"] | UserMapper.setRights + userDao.update | Integrità (dimostrata in lab): impiantare ADMIN. Lab: plantedadm come testimone del nome, DELETE /user/3 come utente impiantato ha restituito 200 Deleted. La DELETE di soaplab solo SOAP era error.notallowed. |
Stessa POST con id esistente | userDao.get(dto.getId()) | Integrità (dimostrata in lab): sovrascrittura tramite unione per id. Lab: utente 4 login mergeover con ADMIN. |
Chiuso: DELETE /user/{id} richiede comunque ADMIN. Il SID ROOM è NO_PERMISSION in fase di aggiunta. La registrazione frontend non accetta un array di diritti.
cd lab
./run.sh
Ultima riga: SUCCESS OPENMEETINGS-SOAP-RIGHTS-WITNESS
Correzione suggerita: ignorare UserDTO.rights nell'aggiunta SOAP, oppure consentire solo LOGIN/ROOM/DASHBOARD. Non caricare mai per id in fase di aggiunta. Rimuovere ADMIN/SOAP a meno che il chiamante non sia ADMIN.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Fornitore: [email protected]