CVE-2025-65899: Kalmia CMS v0.2.0 — уязвим к Observable Response Discrepancy

Обзор уязвимости

CVE ID: CVE-2025-65899
Продукт: DifuseHQ Kalmia CMS
Затронутая версия: 0.2.0
Тип уязвимости: Observable Response Discrepancy
Требуемые привилегии: Нет

Воздействие

Позволяет неаутентифицированным злоумышленникам перечислять действительные имена пользователей, что открывает возможности для целевых атак типа password spraying, credential stuffing и обнаружения учётных записей.

Исправленная версия

Ожидает одобрения сопровождающего - https://github.com/DifuseHQ/Kalmia/pull/34

Описание

Kalmia CMS версии 0.2.0 содержит уязвимость перечисления пользователей в механизме аутентификации. Приложение возвращает разные сообщения об ошибках для несуществующих пользователей (user_not_found) и для существующих пользователей с неверным паролем (invalid_password). Это наблюдаемое расхождение ответов позволяет неаутентифицированным злоумышленникам перечислять действительные имена пользователей в системе, что может быть использовано для последующих целевых атак, таких как password spraying или социальная инженерия.

Технические подробности

Затронутые компоненты

• Конечная точка аутентификации: /kal-api/auth/jwt/create
• HTTP-метод: POST
• Логика аутентификации: процесс создания JWT-токена

Корневая причина уязвимости

Система аутентификации не обеспечивает единообразных ответов об ошибках, раскрывая информацию о существовании учётных записей через различные сообщения об ошибках:

• Несуществующее имя пользователя: возвращает {"message": "user_not_found"}
• Существующее имя пользователя + неверный пароль: возвращает {"message": "invalid_password"}

Такое различие в ответах позволяет злоумышленникам отличать несуществующие учётные записи от действительных.

Процесс эксплуатации

Шаг 1: Проверка несуществующего пользователя

Злоумышленник пытается аутентифицироваться с несуществующим именем пользователя и наблюдает ответ сервера User not found.

Шаг 2: Анализ в Burp Suite — Пользователь не найден

Используя Burp Suite для перехвата и анализа запроса аутентификации, злоумышленник подтверждает, что сервер возвращает user_not_found для несуществующих имён пользователей, что указывает на отсутствие пользователя в системе.

Шаг 3: Анализ в Burp Suite — Неверный пароль

При проверке существующего имени пользователя с неверным паролем Burp Suite перехватывает ответ сервера с invalid_password, что подтверждает существование данного имени пользователя в системе.

Шаг 4: Анализ серверной логики

Анализ серверной логики аутентификации выявляет ошибочную реализацию, которая возвращает разные сообщения об ошибках:

• Система сначала проверяет, существует ли пользователь
• Если пользователь не существует: возвращается user_not_found
• Если пользователь существует, но пароль неверен: возвращается invalid_password

Этот последовательный процесс проверки создаёт наблюдаемое расхождение, которое позволяет перечислять пользователей.

Доказательство концепции (PoC)

Использование предоставленного эксплойт-скрипта

Скрипт cve-2025-65899.py автоматизирует процесс перечисления пользователей:

python cve-2025-65899.py <TARGET_URL> [OPTIONS]

Параметры скрипта:

• url: базовый URL целевой Kalmia CMS (обязательный)
• -u, --user: отдельное имя пользователя для проверки
• -p, --password: пароль для тестирования (обязательный)
• -w, --wordlist: файл со списком слов для массового перечисления пользователей

Примеры использования:

Проверка одного пользователя:

# Test if specific user exists
python cve-2025-65899.py http://target.com:2727 -u admin -p wrongpass

# Results:
# [+] Valid user: admin (if user exists)
# OR
# (no output if user doesn't exist)

Массовое перечисление пользователей:

# Enumerate users from wordlist
python cve-2025-65899.py http://target.com:2727 -w users.txt -p wrongpass

# Create a simple wordlist
echo -e "admin\nuser\nadministrator\ntest\nguest" > users.txt

Порядок работы скрипта:

1. Режим одиночного пользователя: проверяет одно имя пользователя и определяет, существует ли оно
2. Режим перечисления: перебирает список потенциальных имён пользователей
3. Анализ ответов: анализирует ответы сервера и классифицирует пользователей:
   • Не существует: без вывода (ответ user_not_found)
   • Существует: отображается как "Valid user found"
   • Действительные учётные данные: если пароль также верен

Ссылки

• Данные CVE: CVE-2025-65899
• CWE-204: Observable Response Discrepancy

Отказ от ответственности: Эта информация предоставлена исключительно в образовательных и защитных целях. Пользователи несут ответственность за получение соответствующего разрешения перед тестированием любых систем.