Bỏ qua xác thực trong miniOrange OAuth Single Sign On, SSO (OAuth Client)

Lỗ hổng xác thực bị phá vỡ không yêu cầu xác thực trong OAuth Single Sign On – SSO (OAuth Client), ở các phiên bản <= 7.0.0.

• Sản phẩm: miniOrange OAuth Single Sign On, SSO (OAuth Client), WordPress package miniorange-login-with-eve-online-google-facebook.
• Phạm vi bị ảnh hưởng: các phiên bản nhỏ hơn hoặc bằng 7.0.0.
• Bản đã được xác nhận không bị ảnh hưởng: 7.0.1 được CNA và Patchstack liệt kê là bản đã khắc phục.
• Trạng thái mặc định: không bị ảnh hưởng ngoài phạm vi phiên bản được nêu. Bản ghi không chứng minh độc lập trạng thái của mọi nhánh phát hành song song hoặc các nhánh về sau ngoài thông tin đã công bố.

miniOrange OAuth Single Sign On, SSO (OAuth Client) có lỗi trong cơ chế xác thực, được phân loại là CWE-290, Authentication Bypass by Spoofing. Lỗ hổng có thể được truy cập qua mạng bởi một tác nhân chưa xác thực, không cần quyền truy cập trước và không cần tương tác của người dùng. Patchstack cho biết lỗi có thể cho phép tác nhân độc hại thực hiện các thao tác vốn chỉ dành cho người dùng có đặc quyền cao hơn, thậm chí có thể đạt quyền quản trị website. Bản ghi không xác định endpoint, OAuth callback, token, tham số đầu vào hoặc logic kiểm tra cụ thể bị lỗi. Vì vậy, chuỗi khai thác và dữ liệu đầu vào do kẻ tấn công kiểm soát vẫn chưa được công bố trong bằng chứng hiện có.

• Khả năng tiếp cận: qua mạng.
• Xác thực: không yêu cầu.
• Quyền cần có trước: không yêu cầu.
• Tương tác người dùng: không yêu cầu.
• Độ phức tạp: thấp theo các thuộc tính tấn công được cung cấp.
• CISA enrichment ghi nhận trạng thái khai thác là none và bản ghi được cung cấp đánh dấu không có public exploit. Đây chỉ là trạng thái của bằng chứng hiện có, không chứng minh rằng không thể có khai thác chưa được công bố hoặc khai thác ngoài phạm vi quan sát.

Lỗi có thể cho phép tác nhân chưa xác thực từ xa vượt qua cơ chế đăng nhập hoặc giả mạo danh tính xác thực trong phạm vi plugin. Hậu quả kỹ thuật có thể là thực hiện thao tác với quyền cao hơn, có khả năng dẫn đến quyền quản trị website. Từ quyền đạt được, tác động có thể lan đến dữ liệu, cấu hình và tính khả dụng của website, nhưng bản ghi không xác định chính xác các thao tác được phép hoặc giới hạn quyền sau khi vượt qua xác thực. Không có bằng chứng trong bản ghi cho thấy đã xảy ra xâm nhập thực tế.

• Một tác nhân chưa xác thực có thể có khả năng thực hiện các hành động vốn chỉ dành cho người dùng đã xác thực hoặc người dùng có đặc quyền cao hơn.
• Nếu quyền quản trị bị chiếm, website có thể bị thay đổi cấu hình, nội dung, tài khoản hoặc dữ liệu; mức độ cụ thể phụ thuộc vào thao tác mà lỗi cho phép thực hiện.
• Tác động khả dĩ bao gồm lộ dữ liệu, sửa đổi dữ liệu và gián đoạn dịch vụ WordPress, phù hợp với phạm vi tác động được ghi nhận trong bản CVE.
• Bản ghi không xác nhận một vụ xâm nhập, chiến dịch, nạn nhân hoặc hành động cụ thể nào đã xảy ra.

1. Cập nhật plugin miniOrange OAuth Single Sign On, SSO (OAuth Client) lên 7.0.1, là bản được CNA và Patchstack xác nhận đã khắc phục.
2. Theo solution của CNA, có thể sử dụng bản mới nhất hiện có với điều kiện phiên bản ít nhất là 7.0.1; cần xác minh trực tiếp phiên bản thực tế trên từng website và từng nhánh triển khai.
3. Nếu chưa thể cập nhật ngay, sử dụng cơ chế mitigation được Patchstack cung cấp để chặn các yêu cầu liên quan trong thời gian chờ cập nhật. Chi tiết triển khai và phạm vi bao phủ của cơ chế này không có trong bằng chứng hiện có.
4. Sau khi cập nhật hoặc áp dụng mitigation, rà soát tài khoản quản trị, thay đổi quyền, cấu hình OAuth và hoạt động đặc quyền để phát hiện dấu hiệu bị lạm dụng. Không coi mitigation là thay thế lâu dài cho việc cập nhật.

1. Kiểm kê các website WordPress đang cài plugin miniOrange OAuth Single Sign On, SSO (OAuth Client), bao gồm cả các bản cài đặt ít được sử dụng hoặc không được quản lý tập trung.
2. Xác định package miniorange-login-with-eve-online-google-facebook và đối chiếu phiên bản đang chạy với phạm vi bị ảnh hưởng trong mục affected_summary.
3. Kiểm tra các tài khoản quản trị mới, thay đổi quyền, đăng nhập hoặc hành động đặc quyền bất thường liên quan đến luồng OAuth/SSO. Đây là biện pháp rà soát phòng ngừa, không phải indicator được CNA xác nhận.
4. Xem xét log web và log WordPress quanh các yêu cầu xác thực, callback OAuth và thao tác quản trị bất thường nếu hệ thống có ghi nhận các sự kiện này.
5. Không có endpoint, mẫu log, IOC hoặc payload cụ thể nào được cung cấp. Việc không thấy sự kiện đáng ngờ không chứng minh website an toàn.