影響を受ける製品

• 製品: IBERMATICA RPS
• 影響を受けるバージョン: RPS 2019
• コンポーネント: RPS 2019 Service のステータスおよびロギング機能

攻撃チェーン

1. 認証なしで公開された RPS ステータスページにアクセスする。
2. ステータスページ上のコントロールからアプリケーションロギングを有効にする。
3. 認証アクティビティをトリガーするか、それが発生するまで待つ。
4. 生成されたログファイルをダウンロードする。
5. ログに記録された SQL クエリからユーザー名と暗号化されたパスワード値を抽出する。
6. 対応するユーザー名から AES 鍵材料を導出する。
7. 保存された値を復号し、パスワードを平文で復元する。

この攻撃チェーンには、SQL インジェクション、パスワードのブルートフォース、または事前のアプリケーションアカウントは一切必要ありません。

技術ノート

調査により、以下の状態が確認されました:

• デバッグログには、認証に関連する完全な SQL クエリが含まれます。
• 存在しないユーザー名でのログイン試行では、入力されたパスワードが平文でログに記録される可能性があります。
• 既存ユーザーのパスワードは、SQL クエリ内で Base64 エンコードされた暗号文として表示されます。
• 暗号化方式は CBC モードの AES-128 を使用します。
• 鍵と初期化ベクトルはユーザー名から決定的に導出され、固定文字で 16 バイトにパディングされます。
• 同じ予測可能な値が鍵と IV の両方として使用されます。

AES 自体が根本的な問題ではありません。この脆弱性は、パスワードに可逆的な暗号化を使用していること、予測可能な鍵材料、そしてランダムでも独立でもない IV を使用していることに起因します。

影響

悪用に成功すると、リモートの認証されていない攻撃者が以下を行える可能性があります:

• 機密性の高い運用情報およびアプリケーション情報を取得する。
• 有効なユーザー名とインフラストラクチャの詳細を列挙する。
• 平文のパスワードを取得する。
• 特権を持つ RPS アカウントを侵害する。
• パスワードが使い回されている他のサービスで、漏えいした認証情報を再利用する。

修復と強化

• RPS 2019 に対してベンダーが提供するアップデートまたは緩和策を適用する。
• /RPS2019Service/status.html へのパブリックアクセスを削除する。
• すべての診断、管理、ステータス、ヘルス、デバッグ、およびメトリクスエンドポイントに対して、強力な認証と認可を要求する。
• 厳密に必要でない場合は、本番環境のデバッグロギングを無効にする。
• ログから認証情報、認証データ、完全な SQL クエリをマスクする。
• パスワードは、Argon2id、scrypt、bcrypt などの最新のソルト付き一方向パスワードハッシュ関数を使用して保存する。
• 影響を受けたログに含まれていた可能性のあるすべての認証情報をローテーションする。
• ステータスページへのリクエストとログダウンロードについて、過去のアクセスログを確認する。
• ERP 管理およびサポートインターフェースがインターネットに直接公開されないようにする。

検知の機会

防御側は以下を調査する必要があります:

• /RPS2019Service/status.html への予期しないリクエスト。
• アプリケーションログの有効化、停止、削除、またはダウンロードを行うリクエスト。
• 信頼できないネットワークからのステータスまたは診断エンドポイントへのアクセス。
• RPS ログファイルへのアクセス後に発生する異常な認証イベント。
• 他の内部または外部サービスでの RPS 認証情報の再利用。

開示

これらの問題は、許可を得た攻撃的セキュリティエンゲージメント中に LABS @ ITRES によって発見され、INCIBE-CERT を通じて CVE 識別子が割り当てられました。

詳細な技術解説は、Old Dives シリーズの最初の記事で公開されています:

• Old Dives #01: パスワードを取り戻した RPS ステータスページ

参考情報

• CVE-2023-3349 — NVD
• CVE-2023-3350 — NVD
• IBERMATICA RPS 2019 の複数の脆弱性 — INCIBE-CERT
• LABS @ ITRES

法的通知

このリポジトリの情報は、組織が文書化された脆弱性を特定、検証、および修復することを支援することを目的としています。著者および貢献者は、この資料の使用に起因する誤用または損害について責任を負いません。