abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
クラス: ATO 到達範囲: リモート
Apache OpenMeetings 9.1.0。CVE-2026-33266 はハードコードされた remember-me キー（インスタンスごとの AES-GCM）を修正しました。Cookie LoggedIn には依然としてユーザー名とパスワードが含まれています。オプトインのチェックボックス credentials:rememberMe はデフォルトでオフです。その Cookie のみを持つ新しいクライアントは、そのユーザーになります。パスワードは不要です。JSESSIONID も不要です。
| ID | CVE 未割当 |
| クラス | ATO |
| 到達範囲 | リモート（盗まれた remember-me Cookie） |
| CWE | CWE-522, CWE-287 |
| CVSS | High: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 製品 | Apache OpenMeetings 9.1.0 |
| 認証 | オプトインの remember-me Cookie |
| ライセンス | GNU Affero GPL v3.0 |
| ラボ | 127.0.0.1:18158 のみ |
| 手法 | シンク | 権限 |
|---|---|---|
Cookie: LoggedIn をリプレイ | remember-me の復号 + signIn | 完全性（ラボで実証済み）: パスワードなしで認証済みメインページ。Cookie なしの対照はサインイン画面のまま。 |
remember.me.key によるオフライン復号 | AES-GCM ペイロード | 偵察（推測）: ユーザー名+パスワードのバイト列。このラボでは手動復号で InvalidTag が発生したが、リプレイは依然として成功した。 |
修正済み: ハードコードされたキー（CVE-2026-33266）。デフォルトのチェックボックスはオフ。
cd lab
./run.sh
最終行: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
推奨される修正: パスワードではなく、ローテーションするトークンを保存する。ログアウト時に LoggedIn をクリアする。Cookie に Secure を付与する。OTP が登録されている場合は remember-me をスキップする。
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
ベンダー: [email protected]