abraxas/openmeetings-remember-me-passwordApache OpenMeetings 9.1.0 — высокий уровень — удалённо — ATO — повторное использование cookie remember-me позволяет аутентифицироваться без пароля
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · openmeetings-remember-me-password
Класс: ATO Доступ: Удалённый
Apache OpenMeetings 9.1.0. CVE-2026-33266 закрыл проблему жёстко заданного ключа remember-me (AES-GCM для каждого экземпляра). Cookie LoggedIn по-прежнему содержит имя пользователя и пароль. Опциональный флажок credentials:rememberMe, по умолчанию выключен. Новый клиент, имеющий только этот cookie, становится пользователем. Без пароля. Без JSESSIONID.
| ID | CVE пока нет |
| Класс | ATO |
| Доступ | Удалённый (украденный cookie remember-me) |
| CWE | CWE-522, CWE-287 |
| CVSS | Высокий: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| Продукт | Apache OpenMeetings 9.1.0 |
| Аутентификация | опциональный cookie remember-me |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1:18158 |
| Метод | Точка воздействия | Привилегия |
|---|---|---|
Повтор Cookie: LoggedIn | расшифровка remember-me + signIn | Целостность (подтверждено в лаборатории): аутентифицированная главная страница без пароля. Контроль без cookie остаётся на странице входа. |
Офлайн-расшифровка с remember.me.key | полезная нагрузка AES-GCM | Разведка (предположительно): байты имени пользователя и пароля. В этой лаборатории при ручной расшифровке возникла ошибка InvalidTag; повтор всё равно сработал. |
Закрыто: жёстко заданный ключ (CVE-2026-33266). Флажок по умолчанию выключен.
cd lab
./run.sh
Последняя строка: SUCCESS OPENMEETINGS-REMEMBER-ME-WITNESS
Рекомендуемое исправление: хранить ротируемый токен, а не пароль. Очищать LoggedIn при выходе. Помечать cookie как Secure. Пропускать remember-me, если включён OTP.
Abraxas Labs - https://abraxaslabs.tech - https://github.com/abraxas - https://x.com/abraxas_null - [email protected]
Поставщик: [email protected]