abraxas/openmeetings-remember-me-passwordApache OpenMeetings 9.1.0 - Alta - Remoto - ATO - a reprodução do cookie remember-me autentica sem palavra-passe
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
Classe: ATO Alcance: Remoto
Apache OpenMeetings 9.1.0. CVE-2026-33266 fechou a chave hardcoded de remember-me (AES-GCM por instância). O cookie LoggedIn ainda contém nome de usuário+senha. Checkbox opt-in credentials:rememberMe, desativado por padrão. Um novo cliente com apenas esse cookie se torna o usuário. Sem senha. Sem JSESSIONID.
| ID | ainda sem CVE |
| Classe | ATO |
| Alcance | Remoto (cookie remember-me roubado) |
| CWE | CWE-522, CWE-287 |
| CVSS | Alto: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| Produto | Apache OpenMeetings 9.1.0 |
| Autenticação | cookie remember-me opt-in |
| Licença | GNU Affero GPL v3.0 |
| Lab | somente 127.0.0.1:18158 |
| Método | Sink | Privilégio |
|---|---|---|
Replay de Cookie: LoggedIn | descriptografia remember-me + signIn | Integridade (comprovado em lab): página principal autenticada sem senha. Controle sem cookie permanece na tela de login. |
Descriptografia offline com remember.me.key | payload AES-GCM | Recon (inferido): bytes de nome de usuário+senha. Este lab obteve InvalidTag em uma descriptografia manual; o replay ainda funcionou. |
Fechado: chave hardcoded (CVE-2026-33266). Checkbox padrão desativado.
cd lab
./run.sh
Última linha: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
Correção sugerida: armazenar um token rotativo, não a senha. Limpar LoggedIn no logout. Marcar o cookie como Secure. Ignorar remember-me quando OTP estiver inscrito.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Vendor: [email protected]