...

Risque

• Possibilité de valider la demande de MFA (Multi Factor Authentication) à la place de l'utilisateur légitime

...

• Cette vulnérabilité affecte l'ensemble des versions esup-otp-api et donc des solutions de MFA utilisant la solution esupotp.

Description

Une vulnérabilité élevée a été découverte dans l’application esup-otp-api, un logiciel utilisé pour l’authentification double facteur.

...

Sous réserve de compréhension du fonctionnement des WS et d'inspection des requêtes HTTP auprès du serveur esup-otp-api, la complexité d'exploitation est relativement faible, une commande curl permet de récupérer un code otp permettant d'accepter la demande de MFA.

Conditions préalables 

Être authentifié avec identifiant et mot de passe d'un utilisateur de utilisateur (cible) ayant activé l'authentification via notifications push.

...

Les administrateurs système sont encouragés à doivent mettre à jour esup-otp-api vers la version 2.2.3 ou ultérieure qui corrige ce problème.

Cf https://github.com/EsupPortail/esup-otp-api/#updating

Applications concernées

esup-otp-api jusqu'à 2.2.3.

...