abraxas/openmeetings-invite-recording-aclApache OpenMeetings 9.1.0 — высокий уровень — удалённо — IDOR — Type.USER invitation recording MP4 ACL
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-invite-recording-acl
Класс: IDOR Доступ: Удалённый
Apache OpenMeetings 9.1.0. CVE-2023-29032 прекратил копирование Wicket ADMIN в WebSession.rights. checkHashes по-прежнему выполняет setUser(invitation.getInvitee(), hrights). ACL записи MP4 завязан на ownerId == getUserId(). Приглашение в календаре, получатель которого имеет Type.USER, открывает записи этого пользователя. Гости CONTACT остаются вне доступа.
| ID | CVE пока нет |
| Класс | IDOR |
| Доступ | Удалённый (хэш приглашения, без пароля) |
| CWE | CWE-639 |
| CVSS | Высокий: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Продукт | Apache OpenMeetings 9.1.0 |
| Аутентификация | Хэш приглашения Type.USER |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1:18156 |
| Метод | Точка воздействия | Привилегия |
|---|---|---|
Неаутентифицированный GET /hash?invitation= затем GET /recordings/mp4/{id} | WebSession.checkHashes setUser(invitee) + ACL владельца записи | Разведка (подтверждено в лаборатории): байты MP4. Лаборатория: HTTP 200 video/mp4, свидетельство в теле. Без аутентификации без хэша — 404. Хэш CONTACT — 404. |
Закрыто: подстановка с подстановочным знаком LIKE (CVE-2023-28936). Гости CONTACT с Generate-URL. Копирование Wicket ADMIN из приглашения.
cd lab
./run.sh
Последняя строка: SUCCESS OPENMEETINGS-INVITE-RECORDING-WITNESS
Предлагаемое исправление: сессии приглашений сохраняют только {ROOM}. ACL записей не должен рассматривать userId приглашённого как владельца.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Поставщик: [email protected]