CVE-2023-39144

背景

この脆弱性は2023年5月に発見しました。Element55は法律事務所向けに時間追跡ソフトウェアを提供しています。このソフトウェアは、Exchange、SQL、Shoretelなど、様々な場所から情報を取得します。

タイムライン

• 2023年5月24日 - Element55に脆弱性を報告
• 2023年5月25日 - Element55が脆弱性を確認し、バージョン22の一部として修正すると回答（プロフェッショナルで素晴らしい対応でした）
• 2023年7月24日 - Element55に修正が完了したことを確認

脆弱性の説明

Element55 Maketimeアプライアンスは、パスワードをアプリケーション内に平文で保存します。これは、Exchange、LDAP、SQL、Shoretelの管理ページにアクセスすることで確認できます。これらのページ内でMaketimeに送信されたパスワードはアスタリスクで難読化されます。しかし、HTMLソースを表示すると、パスワードがプレーンテキストで見えてしまいます。これだけでは重大とは言えませんが、ユーザーがサービスアカウントをドメイン管理者にすることは珍しくなく、Exchangeサービスアカウント自体もしばしば不必要に過剰な権限が与えられているため、誰かがそれらにアクセスできた場合、ネットワーク内で権限を昇格させる可能性があります。さらに、Webコンソールに設定されるパスワードは弱く推測可能なもの（admin:admin など）であることが多いです。

脆弱なHTMLタグの位置

LDAP:

<input type=password name="settings[ldap_password]" value="password" size=20>

Exchange:

<input type=password name="settings[exchange_password]" value="password" size=20>

SQL:

<input type=password name="settings[ms_password]" value="password" size=20>

Shoretel:

<input type=password name="settings[password]" value="password" size=20>

影響を受けるバージョン

21以前

修正されたバージョン

22

参考文献

Element55、Element55 MakeTime、CWE-312