21/07/2023    

BOLETÍN NRO 2023-544

Los privilegios de administrador adquiridos se pueden aprovechar aún más para explotar otra vulnerabilidad que permite a los atacantes ejecutar código arbitrario en el servidor Apache OpenMeetings.

Luego de la divulgación responsable el 20 de marzo de 2023, las vulnerabilidades se abordaron con el lanzamiento de la versión 7.1.0 de Openmeetings que se lanzó el 9 de mayo de 2023. La lista de tres fallas es la siguiente:

• CVE-2023-28936 (puntaje CVSS: 5.3) - Verificación insuficiente del hash de invitación.

• CVE-2023-29032 (puntaje CVSS: 8.1): una omisión de autenticación que conduce al acceso sin restricciones a través del hash de invitación.

• CVE-2023-29246 (puntuación CVSS: 7.2): una inyección de bytes NULL (% 00) que permite a un atacante con privilegios de administrador obtener la ejecución del código.

Los primeros dos defectos, en pocas palabras, tienen que ver con una comparación de hash débil entre el hash proporcionado por el usuario y lo que está presente en la base de datos y una peculiaridad que permite la creación de una invitación de sala sin una sala asignada, lo que lleva a un escenario donde existe una invitación sin sala adjunta.
Un actor de amenazas podría explotar estas deficiencias para crear un evento y unirse a la sala correspondiente, y luego eliminar el evento, momento en el que se crea una invitación para el usuario administrador a la sala no existente. En el siguiente paso, el error de comparación de hash débil podría aprovecharse para enumerar la invitación enviada y canjearla proporcionando una entrada de hash comodín.
En otras palabras, la sala zombie podría permitir que el atacante adquiera privilegios de administrador y realice modificaciones en la instancia de OpenMeetings, lo que incluye agregar y eliminar usuarios y grupos, cambiar la configuración de la sala y finalizar sesiones de usuarios conectados. "Al cargar una imagen falsa que contiene un encabezado de imagen válido seguido de comandos de shell arbitrarios, la conversión genera /bin/sh con el primer argumento como imagen falsa, ejecutando de manera efectiva cada comando en ella", dijeron los especialistas en seguridad.
En combinación con la apropiación de la cuenta, esta vulnerabilidad permite que un atacante autorregistrado obtenga la ejecución remota de código en el servidor subyacente.