CVE-2023-3349 / CVE-2023-3350 | IBERMATICA RPS 2019

Ricerca di sicurezza che documenta una divulgazione di informazioni non autenticata e un difetto di progettazione crittografica in IBERMATICA RPS 2019.

Le vulnerabilità possono essere concatenate per esporre i log applicativi contenenti query SQL relative all'autenticazione e recuperare le password degli utenti dal testo cifrato AES-CBC reversibile.

[DISCLAIMER] Questo repository è fornito esclusivamente per ricerca di sicurezza, validazione difensiva e scopi educativi. Esegui test esclusivamente su sistemi che possiedi o che sei esplicitamente autorizzato a valutare.

Riepilogo

Un utente non autenticato può accedere alla pagina di stato del servizio RPS all'indirizzo:

/RPS2019Service/status.html

La pagina espone i controlli operativi di logging e consente di scaricare i log generati. Questi log possono contenere dati applicativi sensibili, inclusi nomi utente, indirizzi IP, query SQL e valori correlati alle password.

Le password non sono protette da una funzione di hashing monodirezionale. RPS 2019 utilizza invece AES-128-CBC con materiale di chiave derivato in modo prevedibile dal nome utente. Una volta ottenuti dai log un nome utente e il relativo valore di password cifrato, la password può essere recuperata in chiaro.

Vulnerabilità

Prodotto interessato

• Prodotto: IBERMATICA RPS
• Versione interessata: RPS 2019
• Componente: Funzionalità di stato e logging del servizio RPS 2019

Catena di attacco

1. Accedere alla pagina di stato RPS esposta senza autenticazione.
2. Abilitare il logging applicativo tramite i controlli disponibili nella pagina di stato.
3. Attivare o attendere attività di autenticazione.
4. Scaricare il file di log generato.
5. Estrarre nomi utente e valori di password cifrati dalle query SQL registrate.
6. Derivare il materiale di chiave AES dal nome utente corrispondente.
7. Decifrare il valore memorizzato e recuperare la password in chiaro.

Per questa catena non sono necessari né SQL injection, né brute force delle password, né un account applicativo preesistente.

Note tecniche

L'indagine ha identificato le seguenti condizioni:

• I log di debug contengono query SQL complete relative all'autenticazione.
• I tentativi di accesso con nomi utente inesistenti possono registrare la password fornita in chiaro.
• Le password degli utenti esistenti appaiono come testo cifrato codificato in Base64 nelle query SQL.
• Lo schema di cifratura utilizza AES-128 in modalità CBC.
• La chiave e il vettore di inizializzazione sono derivati deterministicamente dal nome utente e riempiti a 16 byte con un carattere fisso.
• Lo stesso valore prevedibile è usato sia come chiave sia come IV.

AES di per sé non è il problema sottostante. La vulnerabilità deriva dall'uso di cifratura reversibile per le password, da materiale di chiave prevedibile e da un IV che non è né casuale né indipendente.

Impatto

Uno sfruttamento riuscito può consentire a un attaccante remoto non autenticato di:

• recuperare informazioni sensibili operative e applicative;
• enumerare nomi utente validi e dettagli dell'infrastruttura;
• ottenere password in chiaro;
• compromettere account RPS privilegiati;
• riutilizzare le credenziali esposte contro altri servizi in cui le password sono state condivise.

Rimedio e hardening

• Applicare l'aggiornamento o la mitigazione forniti dal vendor per RPS 2019.
• Rimuovere l'accesso pubblico a /RPS2019Service/status.html.
• Richiedere una forte autenticazione e autorizzazione per tutti gli endpoint diagnostici, amministrativi, di stato, health, debug e metriche.
• Disabilitare il logging di debug in produzione quando non è strettamente necessario.
• Oscurare credenziali, dati di autenticazione e query SQL complete dai log.
• Memorizzare le password con una funzione di hashing monodirezionale moderna e salata, come Argon2id, scrypt o bcrypt.
• Ruotare tutte le credenziali che potrebbero essere comparse nei log interessati.
• Esaminare i log di accesso storici per richieste alla pagina di stato e download di log.
• Impedire l'esposizione diretta a Internet delle interfacce di gestione e supporto ERP.

Opportunità di rilevamento

I difensori dovrebbero indagare su:

• richieste inattese a /RPS2019Service/status.html;
• richieste che abilitano, fermano, eliminano o scaricano i log applicativi;
• accessi a endpoint di stato o diagnostici da reti non fidate;
• eventi di autenticazione insoliti successivi all'accesso ai file di log RPS;
• riutilizzo delle credenziali RPS verso altri servizi interni o esterni.

Divulgazione

I problemi sono stati scoperti da LABS @ ITRES durante un'attività offensiva di sicurezza autorizzata e hanno ricevuto gli identificatori CVE tramite INCIBE-CERT.

Un'analisi tecnica dettagliata è disponibile nella prima voce della serie Old Dives:

• Old Dives #01: La pagina di stato RPS che restituiva le password

Riferimenti

• CVE-2023-3349 — NVD
• CVE-2023-3350 — NVD
• Molteplici vulnerabilità in IBERMATICA RPS 2019 — INCIBE-CERT
• LABS @ ITRES

Avviso legale

Le informazioni in questo repository sono intese ad aiutare le organizzazioni a identificare, validare e rimediare alle vulnerabilità documentate. Gli autori e i contributori non sono responsabili per l'uso improprio o per i danni derivanti dall'uso di questo materiale.