Les développeurs ont corrigé une vulnérabilité critique dans Snipe-IT qui pourrait être exploitée pour envoyer aux utilisateurs des demandes de réinitialisation de mot de passe malveillantes.

Grokabilité Snipe-IT est un projet open source basé sur le cloud pour la gestion des actifs des utilisateurs.

Le système populaire a été conçu pour remplacer les feuilles de calcul Excel parfois maladroites et inefficaces et compte environ 3,4 millions d’utilisateurs, ainsi que plus de 6,7 millions d’actifs gérés.

Snipe-IT Référentiel GitHub compte plus de 200 contributeurs et plus de 2 100 forks au moment de la rédaction. Les adopteurs peuvent choisir de faire héberger leurs versions Snipe-IT par Grokability ou ils peuvent les gérer eux-mêmes.

Le 2 mai, le projet divulgué CVE-2022-23064, une vulnérabilité critique qui a reçu un score de gravité CVSS de 8,8.

Problèmes côté serveur

La vulnérabilité est décrite comme un bogue d’injection d’en-tête d’hôte. Les problèmes d’en-tête d’hôte se produisent lorsque la communication du serveur est gérée de manière non sécurisée et peuvent entraîner divers problèmes, notamment l’empoisonnement du cache Web, la falsification de requête côté serveur (SSRF) ou les attaques par injection SQL.

Dans le cas de Snipe-IT, CVE-2022-23064 permettait aux attaquants d’envoyer des en-têtes d’hôte spécialement conçus à la fonctionnalité de demande de réinitialisation du mot de passe du système.

Les utilisateurs cibles pourraient recevoir des liens de réinitialisation de mot de passe qui, une fois cliqués, les mèneraient à un serveur contrôlé par l’attaquant plutôt qu’à un domaine de confiance géré par les utilisateurs de Snipe-IT.

Les développeurs disent qu’il serait alors possible de voler des jetons de réinitialisation de mot de passe, conduisant à un piratage de compte.

Selon Source blancheun exemple de scénario d’attaque est un attaquant sélectionnant « J’ai oublié mon mot de passe » et soumettant le nom d’utilisateur de la victime sélectionnée.

La demande serait interceptée après avoir cliqué sur « réinitialiser le mot de passe de l’e-mail », et l’en-tête de l’hôte serait alors modifié. Si la victime potentielle clique sur le lien de l’e-mail, complété par une URL de base modifiée, le jeton de réinitialisation est alors enregistré et compromis.

Protégez vos cibles

Alors que l’interaction de l’utilisateur est nécessaire pour déclencher une cyberattaque, aucune authentification ou privilège n’est requis pour exploiter la faille.

Les versions 3.0-alpha à v5.3.7 de Snipe-IT sont vulnérables. Les utilisateurs sont invités à mettre à jour au moins la version v5.3.8.

L’une des dernières versions disponibles – v.5.4.3 (v.5.4.4 a été publié le 4 mai) – comprend également un correctif pour résoudre un potentiel cross-site scripting (XSS) vulnérabilité dans les résultats demandés par l’utilisateur.

Parler à La gorgée quotidienne, Grokability CTO Brady Wetherington a déclaré qu’il n’y avait aucune preuve d’exploits dans la nature. De plus, « notre plate-forme hébergée n’a jamais été vulnérable à l’exploit, en raison de sa configuration ».