CVE-2014-2595

Barracuda WAF – obejście uwierzytelnienia przez token z query string

CVSS 9.8v3.1pub. 2020-02-12upd. 2024-11-21

Barracuda Web Application Firewall (WAF) w wersji 7.8.1.013 umożliwia zdalnym atakującym ominięcie mechanizmu uwierzytelnienia poprzez wykorzystanie stałego tokenu uwierzytelniającego pozyskanego z query string. Podatność jest krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika, a atak może być przeprowadzony zdalnie przez sieć.

▸ Pokaż oryginał (EN)

Barracuda Web Application Firewall (WAF) 7.8.1.013 allows remote attackers to bypass authentication by leveraging a permanent authentication token obtained from a query string.

🤖 Analiza AI

Jak działa

Aplikacja generuje lub ujawnia w query string stały (permanentny) token uwierzytelniający, który nie wygasa po zakończeniu sesji (CWE-613: niewystarczające wygasanie sesji). Atakujący, który wejdzie w posiadanie takiego tokenu – np. poprzez przechwycenie żądania HTTP, dostęp do logów lub historii przeglądarki – może wielokrotnie używać go do uwierzytelnienia się w systemie bez znajomości danych logowania. Ponieważ token jest statyczny i nie traci ważności, okno ataku jest praktycznie nieograniczone w czasie.

Skutki

Atakujący uzyskuje nieautoryzowany dostęp do interfejsu zarządzania Barracuda WAF z pominięciem mechanizmów uwierzytelnienia, co może skutkować pełnym przejęciem kontroli nad urządzeniem, modyfikacją reguł bezpieczeństwa oraz naruszeniem poufności i integralności chronionego środowiska.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do interfejsu zarządzania WAF wyłącznie do zaufanych adresów IP, wymuszenie rotacji tokenów sesyjnych oraz regularny przegląd logów dostępu pod kątem nieautoryzowanych uwierzytelnień.

Kogo dotyczy

Barracuda Web Application Firewall (WAF) w wersji 7.8.1.013

Uwagi

Mimo daty publikacji CVE wynoszącej 2020-02-12, referencje wskazują na ujawnienie podatności w sierpniu 2014 roku (seclists.org/fulldisclosure/2014/Aug/5). Dostępny jest publiczny exploit w bazie Exploit-DB (ID 39278) oraz opis techniczny w Packet Storm Security.