CVE-2023-28316

Rocket.Chat: brak unieważnienia sesji po aktywacji 2FA

CVSS 9.8v3.1pub. 2023-05-09upd. 2025-01-28

W platformie Rocket.Chat wykryto lukę w implementacji uwierzytelniania dwuskładnikowego (2FA), polegającą na tym, że aktywacja 2FA nie unieważnia innych aktywnych sesji użytkownika. Atakujący, który wcześniej uzyskał dostęp do konta, może utrzymać go nawet po włączeniu 2FA przez właściciela konta.

▸ Pokaż oryginał (EN)

A security vulnerability has been discovered in the implementation of 2FA on the rocket.chat platform, where other active sessions are not invalidated upon activating 2FA. This could potentially allow an attacker to maintain access to a compromised account even after 2FA is enabled.

🤖 Analiza AI

Jak działa

Podatność (CWE-384 — Session Fixation) wynika z nieprawidłowej obsługi sesji podczas aktywacji 2FA. Gdy użytkownik włącza 2FA na swoim koncie, istniejące sesje uwierzytelniające pozostają ważne i nie są unieważniane. Atakujący posiadający token aktywnej sesji — np. uzyskany wcześniej przez kradzież ciasteczka lub przejęcie konta — może kontynuować korzystanie z konta bez konieczności przechodzenia przez nowo dodany czynnik uwierzytelniania.

Skutki

Atakujący może utrzymać pełny dostęp do przejętego konta użytkownika mimo aktywowania przez niego 2FA, co skutecznie uniemożliwia ofierze zabezpieczenie konta tą metodą i naraża na poufność, integralność oraz dostępność danych w ramach konta.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ręczne wylogowanie wszystkich aktywnych sesji po aktywacji 2FA oraz monitorowanie aktywnych sesji użytkowników.