dodge-mptc/cve-2023-35794-webssh-hijackingIl repository contiene la descrizione per CVE-2023-35794 scoperta da Dodge Industrial Team per la piattaforma Dodge OPTIFY.
Il repository contiene la descrizione per CVE-2023-35794 scoperto dal Dodge Industrial Team per la piattaforma Dodge OPTIFY.
CVE ID: CVE-2023-35794
Vendor: Cassia Networks
Product: Access Controller
Versione: Cassia-AC-2.1.1.2303271039
Vulnerabilità: Controllo di accesso errato
Interessato: web ssh, gateway
Descrizione: La sessione WebSSH può essere dirottata
Stato: Confermato dal vendor, Risolto
Versione corretta: Cassia-AC-2.1.1.2308181707
Cassia utilizza WebSSH2 di billchurch per avviare sessioni SSH dall'AC ai gateway. WebSSH2 è un client SSH web che utilizza ssh2, socket.io, xterm.js ed express. Un esempio minimale di terminale emulatore basato su HTML5 e client SSH. Utilizza SSH2 come client su un host per fare da proxy a una connessione Websocket/Socket.io verso un server SSH2.
Quando una sessione di WebSSH viene stabilita con un dispositivo gateway, qualsiasi utente esterno può dirottarla senza alcuna autenticazione o autorizzazione.
La creazione della sessione avviene tramite una richiesta GET all'opportuno
/ap/remote/<mac>?ssh_port=<ac-rev-ssh-port>
Il gateway riceve quindi la richiesta attraverso il canale MQTT (o CAPWAP)
e stabilisce un tunnel SSH con port forwarding locale verso l'Access Controller.
Poi l'Access Controller si collega alla porta inoltrata con la sessione Web SSH.
L'utente che ha invocato la sessione web ssh viene reindirizzato a
/ssh/host ma il cookie di sessione non viene convalidato.
Il nuovo cookie di WebSSH2 viene fornito con errore 401.
In effetti, all'utente viene chiesto di fornire l'autenticazione di base.
Le credenziali di autenticazione di base ottenute vengono inviate nelle richieste successive
e potenzialmente consumate da webssh2.bundle.js come credenziali utilizzate per autenticarsi
al dispositivo scelto.
Ciò consente a un utente non autorizzato al portale dell'Access Controller di dirottare una sessione SSH già esistente, conoscendo solo il nome utente e la password SSH (si noti che
spesso queste possono essere predefinite: cassia:cassia-<ultime-6-cifre-mac>).
Un attaccante può utilizzare CVE-2023-35793 per ingannare un utente autenticato e avviare una sessione verso qualsiasi dispositivo connesso all'AC (si noti che l'utente non ha bisogno di accedere al gateway, la sessione verrà avviata sfruttando solo il CSRF di CVE-2023-35793). Quindi, utilizzando questa vulnerabilità e conoscendo l'indirizzo MAC, un attaccante può facilmente ottenere l'accesso al dispositivo tramite WebSSH.
Supponiamo che un attaccante abbia innescato qualcuno e che la sessione sia stata stabilita verso il gateway dove vengono utilizzate le credenziali predefinite.
