CVE-2023-26984

脆弱性の説明:

Peppermint v0.2.4のパスワードリセット機能に問題があり、攻撃者が細工したリクエストを介してTicketsページのメールとパスワードにアクセスできるようになります。

攻撃ベクトル:

攻撃者はユーザーロールでログインし、パスワードをリセットする必要があります。次にトラフィックを傍受し、IDを管理者ロールまたは別のユーザーに変更します。（攻撃者はチケットを作成するとTicketsページのメールとパスワードを確認できます。）その後、攻撃者は管理者アカウントで新しいパスワードを使ってログインできます。

影響を受けるエンドポイント:

• http://localhost:5001/settings

• http://localhost:5001/api/v1/users/resetpassword

• POST

  • /api/v1/users/resetpassword
  • {"password":"P@ssw0rd","id":1}

テスト環境:

1. peppermint バージョン 0.2.4 (https://github.com/Peppermint-Lab/peppermint/tree/master)

攻撃手順:

1. ユーザー名とパスワードを入力します。アカウントは低権限である必要があります。
2. View profileを選択し、Passwordを選択してトラフィックを傍受し、新しいパスワードを入力します。
3. IDを管理者IDに変更し、リクエストを転送します。
4. これで管理者アカウントでログインできます。

発見者:

:shipit: Thapanarath Khempetch

開示スケジュール:

• 2023–02–25: 脆弱性を発見。
• 2023–02–26: MITRE社に脆弱性を報告。
• 2023–03–29: CVEが予約されました。
• 2023–03–29: 脆弱性の公開開示。

参考:

3. https://github.com/Peppermint-Lab/peppermint/tree/master

4. https://peppermint.sh/