Podatność w produktach 63Moons Aero oraz Wave 2.0 umożliwia uwierzytelnionemu atakującemu obejście mechanizmu weryfikacji OTP (jednorazowego hasła) stosowanego podczas dwuetapowego uwierzytelniania. Zagrożenie jest krytyczne, ponieważ pozwala na nieuprawniony dostęp do kont innych użytkowników.
▸ Pokaż oryginał (EN)
This vulnerability exists in Aero due to improper implementation of OTP validation mechanism in certain API endpoints. An authenticated remote attacker could exploit this vulnerability by intercepting and manipulating the responses exchanged during the second factor authentication process. Successful exploitation of this vulnerability could allow the attacker to bypass OTP verification for accessing other user accounts.
Błąd wynika z nieprawidłowej implementacji mechanizmu walidacji OTP w określonych punktach końcowych API (API endpoints). Uwierzytelniony atakujący zdalnie przechwytuje i manipuluje odpowiedziami wymienianymi podczas procesu drugiego składnika uwierzytelniania (second factor authentication). Poprzez odpowiednią modyfikację tych odpowiedzi możliwe jest ominięcie weryfikacji OTP bez znajomości właściwego kodu jednorazowego.
Atakujący może uzyskać nieautoryzowany dostęp do kont innych użytkowników, omijając zabezpieczenie w postaci dwuskładnikowego uwierzytelniania. Prowadzi to do pełnego przejęcia konta ofiary wraz z dostępem do jej danych i funkcji systemu.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.cert-in.org.in/s2cMainServlet?pageid=PUBVLNOTES01&VLCODE=CIVN-2024-0332). Do czasu aktualizacji zaleca się monitorowanie ruchu API pod kątem manipulacji odpowiedziami uwierzytelniającymi oraz rozważenie tymczasowego ograniczenia dostępu do podatnych endpointów.
63Moons Aero oraz 63Moons Wave 2.0 — szczegółowe wersje wskazane w referencjach producenta (CERT-In CIVN-2024-0332)
Podatność została opublikowana przez indyjski zespół reagowania na incydenty CERT-In pod identyfikatorem CIVN-2024-0332. Wymagane jest wcześniejsze uwierzytelnienie atakującego, co nieznacznie ogranicza powierzchnię ataku, jednak nie eliminuje zagrożenia dla środowisk wieloużytkownikowych.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X63moons Aero
APP63Moons< 12082024155063moons Wave 2.0
APP63Moons< 1.1.7
Powiązane podatności
Brak ograniczeń liczby prób logowania w Wave 2.0 (brute force)
This vulnerability exists in the Wave 2.0 due to insufficient encryption of sensitive data received at the API...
This vulnerability exists in the Wave 2.0 due to missing rate limiting on OTP requests in an API endpoint. An ...
This vulnerability exists in the Wave 2.0 due to improper authorization checks on certain API endpoints. An au...
This vulnerability exists in the Wave 2.0 due to improper exception handling for invalid inputs at certain API...