dodge-mptc/cve-2023-35794-webssh-hijackingこのリポジトリには、Dodge Industrial Team によって発見された CVE-2023-35794 の説明が含まれています。対象は Dodge OPTIFY プラットフォームです。
このリポジトリには、Dodge Industrial Team が Dodge OPTIFY プラットフォーム向けに発見した CVE-2023-35794 の説明が含まれています。
CVE ID: CVE-2023-35794
ベンダー: Cassia Networks
製品: Access Controller
バージョン: Cassia-AC-2.1.1.2303271039
脆弱性: 不適切なアクセス制御
影響を受けるもの: web ssh、ゲートウェイ
説明: WebSSH セッションがハイジャックされる可能性があります
ステータス: ベンダーにより確認済み、修正済み
パッチ適用バージョン: Cassia-AC-2.1.1.2308181707
Cassia は、AC からゲートウェイへの SSH セッションを開始するために、billchurch による WebSSH2 を使用しています。WebSSH2 は、ssh2、socket.io、xterm.js、express を使用する Web SSH クライアントです。 これは、HTML5 ベースの Web ターミナルエミュレータと SSH クライアントの最小限の例であり、ホスト上のクライアントとして SSH2 を使用して、Websocket/Socket.io 接続を SSH2 サーバーにプロキシします。
ゲートウェイデバイスとの WebSSH セッションが確立されると、外部のユーザーは認証や認可なしにそれをハイジャックできます。
セッションの確立は、適切な
/ap/remote/<mac>?ssh_port=<ac-rev-ssh-port>
への GET リクエストによって行われます。
ゲートウェイは MQTT（または CAPWAP）チャネルを通じてリクエストを受信し、
Access Controller へのローカルポートフォワーディングを備えた SSH トンネルを確立します。
その後、Access-Controller はフォワーディングされたポートに SSH Web セッションをバインドします。
Web SSH セッションを開始したユーザーは
/ssh/host にリダイレクトされますが、セッション cookie は検証されません。
新しい WebSSH2 cookie は 401 エラーとともに提供されます。
実際には、ユーザーは Basic 認証の提供を求められます。
取得した Basic 認証情報は後続のリクエストで送信され、選択したデバイスへの認証に使用される資格情報として webssh2.bundle.js によって消費される可能性があります。
これにより、Access Controller ポータルの未承認ユーザーは、SSH ユーザー名とパスワードを知っているだけで、既存の SSH セッションをハイジャックできます（これは通常、デフォルトの cassia:cassia-<last-mac-6-digits> である可能性があることに注意してください）。
攻撃者は CVE-2023-35793 を使用して、認証済みユーザーを騙し、AC に接続された任意のデバイスへのセッションを開始させることができます（ユーザーはゲートウェイにログインする必要はなく、CVE-2023-35793 の CSRF を悪用するだけでセッション自体が開始されることに注意してください）。 その後、この脆弱性を利用して MAC アドレスを知ることで、攻撃者は WebSSH を介してデバイスへのアクセスを簡単に取得できます。
攻撃者が誰かを誘導し、デフォルトの資格情報が使用されているゲートウェイへの セッションが確立されたと仮定しましょう。
