abraxas/openmeetings-remember-me-passwordApache OpenMeetings 9.1.0 - 높음 - 원격 - ATO - remember-me 쿠키 재생을 통한 비밀번호 없는 인증
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
분류: ATO 도달 범위: 원격
Apache OpenMeetings 9.1.0. CVE-2026-33266은 하드코딩된 remember-me 키(인스턴스별 AES-GCM)를 해결했습니다. 쿠키 LoggedIn에는 여전히 사용자 이름과 비밀번호가 담겨 있습니다. 선택적 체크박스 credentials:rememberMe, 기본값은 꺼짐. 해당 쿠키만 가진 새 클라이언트가 그 사용자가 됩니다. 비밀번호 없이. JSESSIONID 없이.
| ID | 아직 CVE 없음 |
| 분류 | ATO |
| 도달 범위 | 원격 (탈취된 remember-me 쿠키) |
| CWE | CWE-522, CWE-287 |
| CVSS | 높음: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 제품 | Apache OpenMeetings 9.1.0 |
| 인증 | 선택적 remember-me 쿠키 |
| 라이선스 | GNU Affero GPL v3.0 |
| 랩 | 127.0.0.1:18158 전용 |
| 방법 | 싱크 | 권한 |
|---|---|---|
Cookie: LoggedIn 재전송 | remember-me 복호화 + signIn | 무결성 (랩에서 입증): 비밀번호 없이 인증된 메인 페이지. 쿠키가 없는 대조군은 로그인 화면에 머무름. |
remember.me.key로 오프라인 복호화 | AES-GCM 페이로드 | 정찰 (추정): 사용자 이름+비밀번호 바이트. 이 랩에서는 수동 복호화 시 InvalidTag가 발생했으나 재전송은 여전히 작동함. |
해결됨: 하드코딩된 키(CVE-2026-33266). 기본 체크박스 꺼짐.
cd lab
./run.sh
마지막 줄: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
권장 수정: 비밀번호가 아닌 회전하는 토큰을 저장하십시오. 로그아웃 시 LoggedIn을 지우십시오. 쿠키를 Secure로 표시하십시오. OTP가 등록된 경우 remember-me를 건너뛰십시오.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
공급업체: [email protected]