abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-invite-recording-acl
クラス: IDOR 到達範囲: リモート
Apache OpenMeetings 9.1.0。CVE-2023-29032 は Wicket ADMIN を WebSession.rights へコピーすることを停止しました。checkHashes は依然として setUser(invitation.getInvitee(), hrights) を実行します。録画 MP4 の ACL は ownerId == getUserId() に基づいて判定されます。招待先が Type.USER であるカレンダー招待は、そのユーザーの録画を開きます。CONTACT ゲストは対象外です。
| ID | CVE 未割当 |
| クラス | IDOR |
| 到達範囲 | リモート（招待ハッシュ、パスワード不要） |
| CWE | CWE-639 |
| CVSS | High: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| 製品 | Apache OpenMeetings 9.1.0 |
| 認証 | Type.USER 招待ハッシュ |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1:18156 のみ |
| 手法 | シンク | 権限 |
|---|---|---|
未認証 GET /hash?invitation= の後に GET /recordings/mp4/{id} | WebSession.checkHashes の setUser(invitee) + 録画所有者 ACL | 偵察（ラボで実証済み）: MP4 のバイト列。ラボ: HTTP 200 video/mp4、本文に証拠を含む。ハッシュなしの未認証は 404。CONTACT ハッシュは 404。 |
修正済み: LIKE ワイルドカードによる引き換え（CVE-2023-28936）。CONTACT の Generate-URL ゲスト。招待からの Wicket ADMIN コピー。
cd lab
./run.sh
最終行: SUCCESS OPENMEETINGS-INVITE-RECORDING-WITNESS
推奨される修正: 招待セッションは {ROOM} のみを保持する。録画 ACL は招待先の userId を所有者として扱ってはならない。
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
ベンダー: [email protected]