CVE-2023-3349 / CVE-2023-3350 | IBERMATICA RPS 2019

安全研究，记录了 IBERMATICA RPS 2019 中一个未认证的信息泄露漏洞和一个加密设计缺陷。

这些漏洞可以串联利用，从而暴露包含与身份验证相关的 SQL 查询的应用程序日志，并从可逆的 AES-CBC 密文中恢复用户密码。

[免责声明] 本仓库仅供安全研究、防御性验证和教育目的使用。请仅在你拥有或已被明确授权评估的系统上进行测试。

摘要

未认证的用户可以访问位于以下地址的 RPS 服务状态页面：

/RPS2019Service/status.html

该页面暴露了操作日志控制功能，并允许下载生成的日志。这些日志可能包含敏感的应用程序数据，包括用户名、IP 地址、SQL 查询以及与密码相关的值。

密码并非通过单向密码哈希函数进行保护。相反，RPS 2019 使用 AES-128-CBC，其密钥材料可预测地从用户名派生。一旦从日志中获取用户名及其加密的密码值，就可以恢复出明文密码。

漏洞

受影响产品

• 产品： IBERMATICA RPS
• 受影响版本： RPS 2019
• 组件： RPS 2019 Service 状态与日志记录功能

攻击链

1. 无需身份验证即可访问暴露的 RPS 状态页面。
2. 通过状态页面提供的控件启用应用程序日志记录。
3. 触发或等待身份验证活动。
4. 下载生成的日志文件。
5. 从记录的 SQL 查询中提取用户名和加密的密码值。
6. 从相应用户名派生 AES 密钥材料。
7. 解密存储的值并恢复明文密码。

该攻击链不需要 SQL 注入、密码暴力破解或事先拥有应用程序账户。

技术说明

调查发现了以下情况：

• 调试日志包含与身份验证相关的完整 SQL 查询。
• 针对不存在用户名的登录尝试可能会以明文形式记录所输入的密码。
• 现有用户的密码在 SQL 查询中以 Base64 编码的密文形式出现。
• 加密方案使用 CBC 模式下的 AES-128。
• 密钥和初始化向量由用户名确定性派生，并使用固定字符填充至 16 字节。
• 相同的可预测值同时用作密钥和 IV。

AES 本身并不是根本问题。该漏洞源于对密码使用可逆加密、可预测的密钥材料，以及既不随机也不独立的 IV。

影响

成功利用可能允许远程、未认证的攻击者：

• 获取敏感的操作和应用程序信息；
• 枚举有效的用户名和基础设施细节；
• 获取明文密码；
• 攻陷特权 RPS 账户；
• 在共享密码的其他服务上重用已泄露的凭据。

修复与加固

• 应用供应商为 RPS 2019 提供的更新或缓解措施。
• 移除对 /RPS2019Service/status.html 的公开访问。
• 对所有诊断、管理、状态、健康、调试和指标端点要求强身份验证和授权。
• 在非必需情况下禁用生产环境调试日志。
• 对日志中的凭据、身份验证数据和完整 SQL 查询进行脱敏处理。
• 使用现代的、加盐的单向密码哈希函数（如 Argon2id、scrypt 或 bcrypt）存储密码。
• 轮换所有可能出现在受影响日志中的凭据。
• 审查历史访问日志，查找对状态页面和日志下载的请求。
• 防止 ERP 管理和支持接口直接暴露于互联网。

检测建议

防御者应调查：

• 对 /RPS2019Service/status.html 的异常请求；
• 启用、停止、删除或下载应用程序日志的请求；
• 从不受信任的网络访问状态或诊断端点；
• 访问 RPS 日志文件后出现的异常身份验证事件；
• 在其他内部或外部服务上重用 RPS 凭据。

漏洞披露

这些问题由 LABS @ ITRES 在一次授权的进攻性安全评估中发现，并通过 INCIBE-CERT 分配了 CVE 标识符。

详细的技术分析可在 Old Dives 系列的第一篇文章中查看：

• Old Dives #01：归还密码的 RPS 状态页面

参考资料

• CVE-2023-3349 — NVD
• CVE-2023-3350 — NVD
• IBERMATICA RPS 2019 中的多个漏洞 — INCIBE-CERT
• LABS @ ITRES

法律声明

本仓库中的信息旨在帮助组织识别、验证和修复所记录的漏洞。作者和贡献者不对因使用此材料而导致的误用或损害负责。