CVE-2023-26984

취약점 설명:

Peppermint v0.2.4의 비밀번호 재설정 기능에서 발생한 문제로, 공격자가 조작된 요청을 통해 Tickets 페이지의 이메일과 비밀번호에 접근할 수 있습니다.

공격 벡터:

공격자는 사용자 역할로 로그인한 후 비밀번호를 재설정해야 합니다. 그런 다음 트래픽을 가로채어 id를 관리자 역할이나 다른 사용자로 변경합니다. (공격자가 티켓을 생성하면 Tickets 페이지의 이메일과 비밀번호를 볼 수 있습니다.) 이후 공격자는 새 비밀번호로 관리자 계정에 로그인할 수 있습니다.

영향받는 대상:

• http://localhost:5001/settings

• http://localhost:5001/api/v1/users/resetpassword

• POST

  • /api/v1/users/resetpassword
  • {"password":"P@ssw0rd","id":1}

테스트 환경:

1. peppermint 버전 0.2.4 (https://github.com/Peppermint-Lab/peppermint/tree/master)

공격 단계:

1. 사용자 이름과 비밀번호를 입력합니다. 계정은 낮은 권한을 가져야 합니다.
2. 프로필 보기를 선택하고 비밀번호를 선택한 후 트래픽을 가로채어 새 비밀번호를 입력합니다.
3. id를 관리자 id로 변경하고 요청을 전달합니다.
4. 이제 관리자 계정으로 로그인할 수 있습니다.

발견자:

:shipit: Thapanarath Khempetch

공개 일정:

• 2023–02–25: 취약점 발견.
• 2023–02–26: 취약점을 MITRE에 보고.
• 2023–03–29: CVE 예약됨.
• 2023–03–29: 취약점 공개.

참고:

3. https://github.com/Peppermint-Lab/peppermint/tree/master

4. https://peppermint.sh/