CVE-2025-25749 - HotelDruid 3.0.7 における脆弱なパスワードポリシー
説明
HotelDruid バージョン 3.0.7 以前の脆弱性により、パスワード強度ポリシーが適用されていないため、ユーザーは脆弱なパスワードを設定できます。
影響
- 脆弱なパスワードが受け入れられる: 攻撃者は単純なパスワードを推測したり、高い成功率でクレデンシャルスタッフィング攻撃を行うことができます。
- クレデンシャル再利用のリスク: ユーザーがシステム間でパスワードを再利用している場合、攻撃者は漏洩したクレデンシャルを悪用できます。
- パスワード変更の制限なし: 検出を回避するための頻繁なパスワード変更が可能です。
- 攻撃対象領域の拡大: リフレクション型XSS（CVE-2025-25747）などの脆弱性と組み合わせることで、初期の足がかりを得るのが容易になります。
リスクの概要
基本的なパスワードセキュリティコントロールがないことは、HotelDruid の全体的なセキュリティを損ない、管理者アカウントを含むユーザーアカウントを侵害に対して非常に脆弱にします。
概念実証 (PoC)
テストケースの例 (直接的な証拠)
ケース 1 - 弱いパスワードが受け入れられる
- 操作: パスワードを
12345 に設定。
- 結果: 警告なしで受け入れられる。
ケース 2 - よく使われるパスワードが受け入れられる
- 操作: パスワードを
admin に設定。
- 結果: 警告なしで受け入れられる。
ケース 3 - 以前のパスワードの再利用
- 操作: パスワードを
password に設定し、password123 に変更し、再度 password に戻す。
- 結果: 再利用されたパスワードが制限なく受け入れられる。
ケース 4 - 急速なパスワード変更
- 操作: 1分間に5回パスワードを変更する。
- 結果: すべての変更が制限なく許可される。
自動テストスクリプト
これらのチェックを自動化するカスタムスクリプトが開発され、以下を検証しました：
- 複雑さの要件なし。
- 最小長の適用なし。
- パスワード履歴のチェックなし。
- 最小パスワード使用期間の制限なし。
このスクリプトはリクエストに応じて共有可能です。
分析
背景
HotelDruid は、ホテルやレンタルの予約、請求、顧客管理を処理するために使用される人気のオープンソースの不動産管理ソフトウェアです。オンプレミスおよびオンラインの両方で展開されるため、アカウントセキュリティは重要であり、特に財務データや顧客情報を管理する管理者ユーザーにとって重要です。
最新のWebアプリケーションは、クレデンシャルベースの攻撃のリスクを減らすために、少なくとも基本的なパスワードポリシーを適用することが期待されています。脆弱なパスワードを許可するアプリケーションは、自らのセキュリティ体制を直接損ない、他のすべての防御策の効果を低下させます。
脆弱性の詳細
この脆弱性は、HotelDruid バージョン 3.0.7 において意味のあるパスワード要件が完全に欠如していることに起因します。ユーザー作成、パスワード変更、管理者アカウント管理の際に、アプリケーションは以下を許可します：
- 非常に脆弱なパスワード（例:
12345、aaaaa、password）。
- 多くのサービスで使用される一般的なパスワード。
- パスワード長の要件なし。
- 以前使用したパスワードの再利用。
- 短期間での迅速かつ無制限のパスワード変更。
- ユーザーへのパスワード強度に関するフィードバックなし。
攻撃シナリオ
- ブルートフォース攻撃: 攻撃者はよく使われるパスワードをユーザーアカウントに対して非常に高い成功率で試すことができます。
- クレデンシャルスタッフィング: ユーザーが別のサービスから漏洩したパスワードを再利用している場合、それを利用してHotelDruidへのアクセスを得ることができます。
- 権限昇格のサポート: 低権限のアカウントが侵害されると、攻撃者は追加の攻撃を通じて管理者アカウントへの権限昇格を試みることができます。
- 組み合わせ攻撃: 他の脆弱性（CVE-2025-25747など）と組み合わせることで、攻撃者にとって簡単なエントリーポイントを提供します。
緩和策 / パッチ
推奨事項
パスワード複雑さ要件の適用
少なくとも以下を要求する：
- 大文字1文字
- 小文字1文字
- 数字1文字
- 特殊文字1文字
- 最小8文字。
パスワード履歴制限の実装
最小パスワード使用期間の適用
- 急速な変更を防ぐために、パスワード変更の間に少なくとも24時間の間隔を要求する。
リアルタイムのパスワード強度フィードバック
- ユーザーがパスワードを作成または変更する際にフィードバックを提供し、パスワードの強度を理解できるようにする。
デフォルト管理者認証情報のレビュー
- インストール時に管理者アカウントの認証情報を監査し、強力な認証情報を適用する。
オプションの拡張機能
- 外部認証プロバイダー（SSO、LDAP）の統合を検討する。
- 可能であれば多要素認証（MFA）を強く推奨する。
タイムラインとクレジット
- 発見日: 2025年1月16日
- ベンダー通知日: 2025年1月17日
- MITRE CVE割り当て: CVE-2025-25747, 2025年2月27日
- 公開開示日: 2025年3月7日
- 研究者: Huy Vo (セキュリティ研究者)
