CVE-2025-65900: Kalmia CMS v0.2.0 — уязвимость к некорректному контролю доступа

Обзор уязвимости

CVE ID: CVE-2025-65900
Продукт: DifuseHQ Kalmia CMS
Затронутая версия: 0.2.0
Тип уязвимости: Некорректный контроль доступа
Необходимые привилегии: Низкие (учётная запись только для чтения)

Влияние

Эта уязвимость позволяет пользователю с низкими привилегиями получать конфиденциальную информацию всех учётных записей платформы, включая хеши паролей Blowfish. Злоумышленники могут выполнять офлайн-взлом, повышать привилегии и потенциально скомпрометировать учётные записи администраторов, что приведёт к полному захвату системы.

Исправленная версия

Ожидает одобрения мейнтейнера — https://github.com/DifuseHQ/Kalmia/pull/34

Описание

DifuseHQ Kalmia CMS версии 0.2.0 содержит уязвимость некорректного контроля доступа в конечной точке API /kal-api/auth/users. Из-за недостаточной проверки разрешений и чрезмерного раскрытия данных в бэкенде аутентифицированный пользователь с базовыми правами на чтение может получить конфиденциальную информацию всех пользователей платформы, включая хеши паролей Blowfish. Эта ошибка позволяет несанкционированное раскрытие учётных данных и даёт возможность проводить офлайн-атаки полным перебором, что потенциально ведёт к компрометации всех учётных записей. Проблема возникает из-за некорректных проверок авторизации в middleware/auth.go и нефильтрованных данных пользователей, возвращаемых web/src/api/Requests.ts.

Технические детали

Затронутые компоненты

• Система аутентификации: /kal-api/auth/jwt/create
• API управления пользователями: /kal-api/auth/users

Коренная причина уязвимости

Приложение не выполняет должную очистку конфиденциальной информации и не блокирует доступ к чувствительным конечным точкам. Пользователи с минимальными правами только для чтения могут:

1. Получить доступ к административным конечным точкам
2. Извлечь конфиденциальные данные, включая хеши паролей всех пользователей

Процесс эксплуатации

Шаг 1: Начальный доступ с учётной записью только для чтения

Злоумышленник начинает с легитимной учётной записи только для чтения в системе Kalmia CMS.

Шаг 2: Процесс аутентификации

Злоумышленник входит в систему, используя свои учётные данные только для чтения через стандартный механизм аутентификации.

Шаг 3: Доступ к чувствительной конечной точке

Используя такие инструменты, как Burp Suite, злоумышленник обращается к маршруту API /kal-api/auth/users и просматривает информацию доступа всех пользователей.

Шаг 4: Взлом хешей паролей

Извлечённые хеши паролей затем обрабатываются с помощью инструментов взлома паролей, таких как hashcat, для восстановления паролей в открытом виде.

Шаг 5: Полная компрометация

Успешно взломанные пароли предоставляют полный доступ к учётным записям пользователей, включая потенциально административные.

Подтверждение концепции (PoC)

Использование предоставленного скрипта эксплуатации

Скрипт cve-2025-65900.py автоматизирует процесс эксплуатации:

python cve-2025-65900.py <TARGET_URL> -u <READ_ONLY_USERNAME> -p <READ_ONLY_PASSWORD>

Параметры скрипта:

• url: Базовый URL целевой Kalmia CMS (обязательный)
• -u, --user: Имя пользователя только для чтения (обязательный)
• -p, --password: Пароль пользователя только для чтения (обязательный)
• -t, --token-endpoint: Конечная точка получения JWT-токена (по умолчанию: /kal-api/auth/jwt/create)
• -d, --dump: Конечная точка дампа пользователей (по умолчанию: /kal-api/auth/users)
• -a, --auth: Пропустить генерацию токена и использовать предоставленный JWT-токен
• -o, --output: Сохранить извлечённые хеши в файл

Пример использования:

# Базовая эксплуатация
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass

# Сохранение хешей в файл
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass -o hashes.txt

# Использование существующего JWT-токена
python cve-2025-65900.py http://target.com:2727 -u readonly_user -p readonly_pass -a "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9..."

Порядок работы скрипта:

1. Получение токена: Аутентификация с предоставленными учётными данными и запрос JWT-токена
2. Чувствительная конечная точка: Использование токена для доступа к чувствительной конечной точке
3. Извлечение данных: Получение всех учётных данных и хешей паролей пользователей
4. Вывод: Отображение результатов и, опционально, сохранение в файл

Ссылки

• Детали CVE: CVE-2025-65900
• CWE-863: Некорректная авторизация

---

Отказ от ответственности: Эта информация предоставляется исключительно в образовательных и защитных целях. Пользователи несут ответственность за получение соответствующих разрешений перед тестированием любых систем.