CVE-2025-65900: Kalmia CMS v0.2.0 - é vulnerável a Controle de Acesso Incorreto

Visão Geral da Vulnerabilidade

ID do CVE: CVE-2025-65900
Produto: DifuseHQ Kalmia CMS
Versão Afetada: 0.2.0
Tipo de Vulnerabilidade: Controle de Acesso Incorreto
Privilégios Necessários: Baixo (conta de usuário somente leitura)

Impacto

Esta vulnerabilidade permite que um usuário com privilégios baixos recupere informações sensíveis de todas as contas da plataforma, incluindo hashes de senha Blowfish. Atacantes podem realizar quebra offline, escalar privilégios e potencialmente comprometer contas administrativas, levando à tomada total do sistema.

Versão Corrigida

Aguardando aprovação do mantenedor - https://github.com/DifuseHQ/Kalmia/pull/34

Descrição

O DifuseHQ Kalmia CMS versão 0.2.0 contém uma vulnerabilidade de Controle de Acesso Incorreto no endpoint da API /kal-api/auth/users. Devido à validação de permissões insuficiente e à exposição excessiva de dados no backend, um usuário autenticado com permissões básicas de leitura pode recuperar informações sensíveis de todos os usuários da plataforma, incluindo hashes de senha Blowfish. Essa falha permite a divulgação não autorizada de material de credenciais e viabiliza ataques offline de força bruta, podendo levar ao comprometimento total de contas. O problema origina-se de verificações de autorização inadequadas em middleware/auth.go e de dados de usuário não filtrados retornados por web/src/api/Requests.ts.

Detalhes Técnicos

Componentes Afetados

• Sistema de Autenticação: /kal-api/auth/jwt/create
• API de Gerenciamento de Usuários: /kal-api/auth/users

Causa Raiz da Vulnerabilidade

A aplicação não consegue sanitizar adequadamente informações sensíveis e bloquear o acesso a endpoints sensíveis. Usuários com acesso mínimo somente leitura podem:

1. Acessar endpoints administrativos
2. Extrair dados sensíveis, incluindo todos os hashes de senha dos usuários

Processo de Exploração

Etapa 1: Acesso Inicial com Usuário Somente Leitura

Um atacante começa com uma conta de usuário legítima somente leitura no sistema Kalmia CMS.

Etapa 2: Processo de Autenticação

O atacante faz login no sistema usando suas credenciais somente leitura por meio do mecanismo de autenticação padrão.

Etapa 3: Acessando Endpoint Sensível

Usando ferramentas como Burp Suite, o atacante consulta a rota da API /kal-api/auth/users e visualiza as informações de acesso de todos os usuários.

Etapa 4: Quebra de Hash de Senha

Os hashes de senha extraídos são então processados usando ferramentas de quebra de senha como o hashcat para recuperar as senhas em texto puro.

Etapa 5: Comprometimento Total

Senhas quebradas com sucesso fornecem acesso total às contas de usuário, potencialmente incluindo contas administrativas.

Prova de Conceito (PoC)

Usando o Script de Exploração Fornecido

O script cve-2025-65900.py automatiza o processo de exploração:

python cve-2025-65900.py <TARGET_URL> -u <READ_ONLY_USERNAME> -p <READ_ONLY_PASSWORD>

Parâmetros do Script:

• url: URL base do Kalmia CMS alvo (obrigatório)
• -u, --user: nome de usuário somente leitura (obrigatório)
• -p, --password: senha somente leitura (obrigatória)
• -t, --token-endpoint: endpoint de token JWT (padrão: /kal-api/auth/jwt/create)
• -d, --dump: endpoint de dump de usuários (padrão: /kal-api/auth/users)
• -a, --auth: pular a geração de token e usar o token JWT fornecido
• -o, --output: salvar hashes extraídos em arquivo

Exemplo de Uso:

# Basic exploitation
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass

# Save hashes to file
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass -o hashes.txt

# Use existing JWT token
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass -a "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9..."

Fluxo de Trabalho do Script:

1. Aquisição de Token: Autentica com as credenciais fornecidas e solicita o token JWT
2. Endpoint Sensível: Usa o token para acessar o endpoint sensível
3. Extração de Dados: Recupera todas as credenciais de usuário e hashes de senha
4. Saída: Exibe os resultados e opcionalmente salva em arquivo

Referências

• Detalhes do CVE: CVE-2025-65900
• CWE-863: Autorização Incorreta

Aviso Legal: Estas informações são fornecidas apenas para fins educacionais e de defesa. Os usuários são responsáveis por garantir que possuem autorização adequada antes de testar qualquer sistema.