openCRX-CVE-2020-7378 (비인증 계정 탈취)

OpenCRX의 비밀번호 재설정 취약점(CVE-2020-7378)을 악용합니다.

CVE-2020-7378을 위한 은밀한 Python 구현

이 취약점이 발생하는 이유는 개발자들이 사용자의 비밀번호를 재설정하기 위해 임의 토큰을 생성할 때 java.util.Random의 Random 클래스를 사용했기 때문입니다

대신 임의 토큰을 생성할 때 java.security.SecureRandom의 SecureRandom 클래스를 사용해야 합니다

v4.2.0에서 테스트되었으며, CVE-2020-7378 공개 보고서에 언급된 다른 버전에서도 동작해야 합니다

사용법

./openCRXreset.py -u <URL> -user <USERNAME> -pass <PASSWORD>

기능

• Python rich 라이브러리를 사용하여 강력한 출력을 표시합니다

  

• 스크립트의 일부로 로컬에 임시 생성된 모든 파일을 삭제합니다

• 은밀성을 유지하기 위해 스크립트가 생성한 비밀번호 재설정 메일만 삭제합니다