CVE-2023-1788

Niewystarczające wygasanie sesji w Firefly III

CVSS 9.8v3.1pub. 2023-04-05upd. 2024-11-21

W aplikacji Firefly III (osobisty menedżer finansów) przed wersją 6 sesje użytkowników nie były prawidłowo unieważniane po wylogowaniu lub upływie czasu. Umożliwia to atakującemu przejęcie aktywnej sesji i uzyskanie nieautoryzowanego dostępu do konta ofiary.

▸ Pokaż oryginał (EN)

Insufficient Session Expiration in GitHub repository firefly-iii/firefly-iii prior to 6.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-613 (Insufficient Session Expiration) oznacza, że tokeny sesji pozostają ważne dłużej niż powinny lub nie są unieważniane po wylogowaniu użytkownika. Atakujący, który wejdzie w posiadanie ważnego tokenu sesji (np. poprzez podsłuchanie ruchu sieciowego, dostęp do historii przeglądarki lub logi systemowe), może użyć go do uwierzytelnienia się jako ofiara bez znajomości hasła. Brak wymagania jakichkolwiek uprawnień (PR:N) ani interakcji użytkownika (UI:N) czyni atak szczególnie łatwym do przeprowadzenia zdalnie.

Skutki

Atakujący może uzyskać pełny dostęp do konta ofiary w aplikacji Firefly III, co obejmuje podgląd danych finansowych, modyfikację transakcji oraz potencjalną zmianę ustawień konta. Wysoka ocena wpływu na poufność, integralność i dostępność (C:H/I:H/A:H) wskazuje na możliwość całkowitego przejęcia konta.

Mitygacja

Należy zaktualizować Firefly III do wersji 6 lub nowszej. Poprawka dostępna jest w commicie 68f398f97cbe1870fc098d8460bf903b9c3fab30 w repozytorium GitHub projektu. Dodatkowo zaleca się wymuszenie ponownego logowania wszystkich aktywnych użytkowników po wdrożeniu aktualizacji oraz skrócenie czasu życia sesji w konfiguracji aplikacji.