PT-2020-18303 · Opencast Community · Opencast
Lkiesow
·
Publicado
2020-01-30
·
Atualizado
2020-02-05
·
CVE-2020-5206
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Opencast anteriores à 7.6
Versões do Opencast anteriores à 8.1
Descrição
O uso de um cookie “lembrar-me” com um nome de usuário arbitrário pode fazer com que o Opencast considere que a autenticação desse usuário está correta, mesmo que o cookie “lembrar-me” esteja incorreto, desde que o endpoint atacado também permita acesso anônimo. Dessa forma, um invasor pode, por exemplo, falsificar um token “lembrar-me”, assumir a identidade do administrador global do sistema e solicitar conteúdo não público do serviço de pesquisa sem nunca fornecer qualquer autenticação válida.
Recomendações
Para versões do Opencast anteriores à 7.6, atualize para o Opencast 7.6 para corrigir o problema.
Para versões do Opencast anteriores à 8.1, atualize para o Opencast 8.1 para corrigir o problema.
Como solução alternativa temporária para versões mais antigas e sem patch, considere desativar os cookies “lembrar-me” em etc/security/mh default org.xml removendo a linha <sec:remember-me … /> para mitigar o problema.
Correção
Improper Authorization
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Opencast