Produto afetado

• Produto: IBERMATICA RPS
• Versão afetada: RPS 2019
• Componente: Funcionalidade de status e registro de logs do RPS 2019 Service

Cadeia de ataque

1. Acesse a página de status do RPS exposta sem autenticação.
2. Habilite o registro de logs da aplicação por meio dos controles disponíveis na página de status.
3. Acione ou aguarde a atividade de autenticação.
4. Baixe o arquivo de log gerado.
5. Extraia nomes de usuário e valores de senha criptografados das consultas SQL registradas.
6. Derive o material de chave AES a partir do nome de usuário correspondente.
7. Descriptografe o valor armazenado e recupere a senha em texto puro.

Nenhuma injeção de SQL, força bruta de senha ou conta prévia na aplicação é necessária para esta cadeia.

Notas técnicas

A investigação identificou as seguintes condições:

• Logs de depuração contêm consultas SQL completas relacionadas à autenticação.
• Tentativas de login com nomes de usuário inexistentes podem registrar a senha fornecida em texto puro.
• Senhas de usuários existentes aparecem como texto cifrado codificado em Base64 nas consultas SQL.
• O esquema de criptografia usa AES-128 no modo CBC.
• A chave e o vetor de inicialização são derivados deterministicamente do nome de usuário e preenchidos até 16 bytes com um caractere fixo.
• O mesmo valor previsível é usado tanto como chave quanto como IV.

O AES não é, por si só, o problema subjacente. A vulnerabilidade resulta do uso de criptografia reversível para senhas, de material de chave previsível e de um IV que não é nem aleatório nem independente.

Impacto

A exploração bem-sucedida pode permitir que um atacante remoto e não autenticado:

• recupere informações operacionais e de aplicação sensíveis;
• enumere nomes de usuário válidos e detalhes de infraestrutura;
• obtenha senhas em texto puro;
• comprometa contas RPS privilegiadas;
• reutilize credenciais expostas em outros serviços onde as senhas foram compartilhadas.

Remediação e endurecimento

• Aplique a atualização ou mitigação fornecida pelo fornecedor para o RPS 2019.
• Remova o acesso público a /RPS2019Service/status.html.
• Exija autenticação e autorização fortes para todos os endpoints de diagnóstico, administrativos, de status, de saúde, de depuração e de métricas.
• Desative o registro de logs de depuração em produção quando não for estritamente necessário.
• Oculte credenciais, dados de autenticação e consultas SQL completas dos logs.
• Armazene senhas com uma função moderna de hash de senha de mão única com salt, como Argon2id, scrypt ou bcrypt.
• Rotacione todas as credenciais que possam ter aparecido nos logs afetados.
• Revise os logs de acesso históricos em busca de solicitações à página de status e downloads de logs.
• Impeça a exposição direta à Internet das interfaces de gerenciamento e suporte do ERP.

Oportunidades de detecção

Os defensores devem investigar:

• solicitações inesperadas para /RPS2019Service/status.html;
• solicitações que habilitem, interrompam, excluam ou baixem logs de aplicação;
• acesso a endpoints de status ou diagnóstico a partir de redes não confiáveis;
• eventos de autenticação incomuns após o acesso aos arquivos de log do RPS;
• reutilização de credenciais do RPS em outros serviços internos ou externos.

Divulgação

Os problemas foram descobertos por LABS @ ITRES durante um engajamento autorizado de segurança ofensiva e receberam identificadores CVE por meio do INCIBE-CERT.

Um relatório técnico detalhado está disponível na primeira entrada da série Old Dives:

• Old Dives #01: A página de status do RPS que devolveu as senhas

Referências

• CVE-2023-3349 — NVD
• CVE-2023-3350 — NVD
• Múltiplas vulnerabilidades no IBERMATICA RPS 2019 — INCIBE-CERT
• LABS @ ITRES

Aviso legal

As informações neste repositório destinam-se a ajudar organizações a identificar, validar e corrigir as vulnerabilidades documentadas. Os autores e colaboradores não são responsáveis pelo uso indevido ou por danos resultantes do uso deste material.