Sitevision sızıntılarında otomatik oluşturulan şifre güvenlik açığı imzalama anahtarı

SiteVision CMS sürümlerinde kritik bir güvenlik kusuru 10.3.1 ve daha eski, SAML kimlik doğrulama imzalama anahtarlarını açığa çıkararak potansiyel kimlik doğrulama baypası ve oturum kaçırma sağladı.

CVE-2022-35202 olarak izlenen güvenlik açığı, özel anahtarları tehlikeye atmak için çıkarılabilen ve kaba güçlendirilebilen Java anahtarlıklarını koruyan zayıf otomatik oluşturulmuş şifrelerden kaynaklanmaktadır.

İsveç kamu sektörü ve kurumsal ortamlarda yaygın olarak benimsenen bir içerik yönetim sistemi olan SiteVision, güvenli kimlik doğrulama akışları için SAML’ye güvenmektedir.

Bu güvenlik açığı, otomatik kimlik bilgisi üretiminde ve WebDAV yanlış yapılandırmalarında sistemik riskleri vurgular. Güvenlik açığı zinciri, Sitevision’ın içerik yönetimi için WebDAV kullanımı ile başlar.

Varsayılan olmayan yapılandırmalarda /webdav/files/ Dizin erişilebilir hale geldi ve bir saml-keystore SAML Authn isteği imzalama için kriptografik anahtarlar içeren dosya.

Bu Java anahtar deposu (JKS), küçük harf ve rakamlarla 8 karakterli otomatik olarak üretilen bir şifre kullanır ve bu da onu kaba kuvvet saldırılarına duyarlı hale getirir.

Shelltrail’deki analistler, rakiplerin anahtar sisteminin SHA1 şifresi karma işlemlerini gibi araçları kullanarak alabileceğini belirledi. JksPrivkPrepare.jarardından Hashcat gibi GPU’ya uyumlu araçlar aracılığıyla çatlatın.

Örneğin:-

bash hashcat -m 15500 -a 3 saml-keystore.hash -1 ?d?l ?1?1?1?1?1?1?1?1 -w 3 -O

Bu komut, 8 karakterli alfasayısal alanı hedefler ve ılımlı donanımda ~ 15 saat içinde karmaşayı kırar. Bir kez şifre çözüldüğünde, oiosaml Özel anahtar kötü amaçlı SAML authn isteklerinin imzalanmasına izin verir.

Sömürü mekaniği ve SAML akışı manipülasyonu

Tahminen özel anahtar, saldırganların SAML Authn isteklerini kötü niyetli bir şekilde oluşturmasını sağlar AssertionConsumerServiceURL değerler.

SAML 2.0, bu URL’yi önceden kayıtlı SP meta verilerine karşı doğrulamak için kimlik sağlayıcılarını (IDP’ler) gerektirirken, bazı IDP’ler meta veri kontrolleri üzerinde imzalı isteklere öncelik verir.

Bu, kimlik doğrulama jetonlarının saldırgan kontrollü uç noktalara, kullanıcı oturumlarını ele geçirmesine izin verir.

WebDAV dizin listesi ortaya çıkar saml-keystorehashcat JKS şifresini kırarken.

Anahtar deposu içeriği Java’s kullanılarak denetlenebilir keytool:-

bash keytool -list -keystore saml-keystore

Çıktı, oiosaml PrivateKeyEntry, anahtarın SAML imzalamadaki rolünü teyit ediyor.

SiteVision, mevcut kurulumlar manuel dönüş gerektirse de, daha güçlü şifreler uygulayarak sürüm 10.3.2’deki güvenlik açığını yamaladı.

SAML kullanan kuruluşlar IDP’lerin doğrulanmasını sağlamalıdır AssertionConsumerServiceURL Talep imzalarına bakılmaksızın meta verilere karşı.

Bunun sonucu olarak, yöneticiler derhal olmalıdır:-

1. SiteVision 10.3.2+ ‘a yükseltin ve manuel olarak döndürün saml-keystore Şifreler.
2. Yetkisiz erişimi kısıtlamak için WebDAV yapılandırmalarını denetleyin.
3. Meta veri tabanlı URL doğrulamasını uygulamak için IDP satıcılarıyla koordine edin.

Free Webinar: Better SOC with Interactive Malware Sandbox for Incident Response and Threat Hunting – Register Here