CVE-2023-4612

Apereo CAS — pominięcie uwierzytelnienia wieloskładnikowego (MFA bypass)

CVSS 9.8v3.1pub. 2023-11-09upd. 2025-02-26

Podatność w Apereo Central Authentication Service (CAS) umożliwia ominięcie uwierzytelnienia wieloskładnikowego (Multi-Factor Authentication) poprzez nieprawidłowe działanie metody getRemoteAddr. Jest to szczególnie groźne, ponieważ CAS jest szeroko stosowanym systemem Single Sign-On, a pominięcie MFA otwiera nieautoryzowany dostęp do chronionych zasobów bez znajomości drugiego składnika uwierzytelnienia.

▸ Pokaż oryginał (EN)

Improper Authentication vulnerability in Apereo CAS in jakarta.servlet.http.HttpServletRequest.getRemoteAddr method allows Multi-Factor Authentication bypass.This issue affects CAS: through 7.0.0-RC7. It is unknown whether in new versions the issue will be fixed. For the date of publication there is no patch, and the vendor does not treat it as a vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej implementacji uwierzytelniania opartej na metodzie jakarta.servlet.http.HttpServletRequest.getRemoteAddr, służącej do pobierania adresu IP klienta. Atakujący może manipulować wartością adresu IP widoczną przez tę metodę (np. poprzez odpowiednie nagłówki HTTP), co prowadzi do błędnej oceny tożsamości lub lokalizacji klienta przez mechanizm MFA. W rezultacie system CAS traktuje żądanie jako zwolnione z wymogu drugiego składnika uwierzytelnienia, pozwalając na zalogowanie się wyłącznie przy użyciu pierwszego składnika (np. hasła).

Skutki

Atakujący zdalnie i bez uwierzytelnienia może ominąć mechanizm MFA i uzyskać nieautoryzowany dostęp do kont użytkowników oraz wszystkich usług chronionych przez CAS, co może skutkować przejęciem sesji, kradzieżą danych oraz naruszeniem poufności i integralności systemów.

Mitygacja

Na datę publikacji CVE (2023-11-09) nie istniał patch ani oficjalna poprawka — producent nie uznał problemu za podatność. Należy monitorować oficjalne repozytorium projektu Apereo CAS pod kątem aktualizacji. W ramach obejścia zaleca się wdrożenie dodatkowych mechanizmów kontroli dostępu (np. ograniczenie dostępu do CAS z zaufanych sieci, walidacja nagłówków HTTP po stronie infrastruktury sieciowej) oraz rezygnację z oparcia logiki MFA wyłącznie o adres IP klienta. Szczegóły techniczne dostępne w referencjach CERT Polska.

Kogo dotyczy

Apereo CAS w wersjach do 7.0.0-RC7 włącznie.

Uwagi

Według opisu producent (Apereo) nie uznał podatności za błąd bezpieczeństwa i nie zapowiedział wydania patcha. Podatność została ujawniona i opisana przez CERT Polska (referencje cert.pl z listopada 2023). Brak informacji o dostępności publicznego exploitu na datę publikacji.