...

...

• Possibilité de valider la demande de MFA (Multi Factor Authentication) à la place de l'utilisateur légitime

...

• Cette vulnérabilité affecte l'ensemble des versions esup-otp-api et donc des solutions de MFA utilisant la solution esupotp.

Description

Une vulnérabilité élevée a été découverte dans l’application esup-otp-api, un logiciel utilisé pour l’authentification double facteur.

Cette vulnérabilité pourrait permettre permet à un attaquant d'accepter , disposant des identifiants de la victime, de valider la demande de MFA à la place de l'utilisateur légitimesans possession du téléphone avec Esup Auth configuré (second facteur).

Complexité d'exploitation

Sous réserve de compréhension du fonctionnement des WS et d'inspection des requêtes HTTP, la complexité d'exploitation est relativement faible, une commande curl permet de récupérer un code otp permettant d'accepter la demande de MFA.

Conditions préalables 

Être authentifié avec identifiant et mot de passe dde l'un utilisateur (cible) ayant activé lla notifications push comme 2ème facteur d'authentification via notifications push.

Solutions

Mise à jour d'esup-otp-api

Les administrateurs système sont encouragés à doivent mettre à jour esup-otp-api vers la version 2.2.3 ou ultérieure qui corrige ce problème.

Cf https://github.com/EsupPortail/esup-otp-api/#updating

Applications concernées

esup-otp-api jusqu'à 2.2.3.2

Analyse des logs

Une analyse des logs d'accès peut permettre de déterminer si la faille a été exploitée : tout GET avec réponse en 200 sur /users/:uid/methods/push/:lt/:hash est à considérer comme illégitime si :lt contient moins de 10 caractères .

...