CVE-2024-51561

Obejście weryfikacji OTP w produktach 63Moons Aero i Wave 2.0

CVSS 9.3v4.0pub. 2024-11-04upd. 2024-11-06

Podatność w produktach 63Moons Aero oraz Wave 2.0 umożliwia uwierzytelnionemu atakującemu obejście mechanizmu weryfikacji OTP (jednorazowego hasła) stosowanego podczas dwuetapowego uwierzytelniania. Zagrożenie jest krytyczne, ponieważ pozwala na nieuprawniony dostęp do kont innych użytkowników.

▸ Pokaż oryginał (EN)

This vulnerability exists in Aero due to improper implementation of OTP validation mechanism in certain API endpoints. An authenticated remote attacker could exploit this vulnerability by intercepting and manipulating the responses exchanged during the second factor authentication process. Successful exploitation of this vulnerability could allow the attacker to bypass OTP verification for accessing other user accounts.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej implementacji mechanizmu walidacji OTP w określonych punktach końcowych API (API endpoints). Uwierzytelniony atakujący zdalnie przechwytuje i manipuluje odpowiedziami wymienianymi podczas procesu drugiego składnika uwierzytelniania (second factor authentication). Poprzez odpowiednią modyfikację tych odpowiedzi możliwe jest ominięcie weryfikacji OTP bez znajomości właściwego kodu jednorazowego.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do kont innych użytkowników, omijając zabezpieczenie w postaci dwuskładnikowego uwierzytelniania. Prowadzi to do pełnego przejęcia konta ofiary wraz z dostępem do jej danych i funkcji systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.cert-in.org.in/s2cMainServlet?pageid=PUBVLNOTES01&VLCODE=CIVN-2024-0332). Do czasu aktualizacji zaleca się monitorowanie ruchu API pod kątem manipulacji odpowiedziami uwierzytelniającymi oraz rozważenie tymczasowego ograniczenia dostępu do podatnych endpointów.

Kogo dotyczy

63Moons Aero oraz 63Moons Wave 2.0 — szczegółowe wersje wskazane w referencjach producenta (CERT-In CIVN-2024-0332)

Uwagi

Podatność została opublikowana przez indyjski zespół reagowania na incydenty CERT-In pod identyfikatorem CIVN-2024-0332. Wymagane jest wcześniejsze uwierzytelnienie atakującego, co nieznacznie ogranicza powierzchnię ataku, jednak nie eliminuje zagrożenia dla środowisk wieloużytkownikowych.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X