...

Risque

• Possibilité de valider la demande de MFA (Multi Factor Authentication) à la place de l'utilisateur légitime

...

Description

Une vulnérabilité élevée a été découverte dans l’application esup-otp-api, un logiciel utilisé pour l’authentification double facteur.

Cette vulnérabilité pourrait permettre permet à un attaquant d'accepter , disposant des identifiants de la victime, de valider la demande de MFA à la place de l'utilisateur légitimesans possession du téléphone avec Esup Auth configuré (second facteur).

Complexité d'exploitation

Sous réserve de compréhension du fonctionnement des WS et d'inspection des requêtes HTTP auprès du serveur esup-otp-api, la complexité d'exploitation est relativement faible, une commande curl permet de récupérer un code otp permettant d'accepter la demande de MFA.

...

Être authentifié avec identifiant et mot de passe de l'utilisateur (cible) ayant activé lla notifications push comme 2ème facteur d'authentification via notifications push.

Solutions

Mise à jour d'esup-otp-api

Les administrateurs système doivent mettre à jour esup-otp-api vers la version 2.2.3 ou ultérieure qui corrige ce problème.

Cf https://github.com/EsupPortail/esup-otp-api/#updating

...

esup-otp-api jusqu'à 2.2.3.2

Analyse des logs

Une analyse des logs d'accès peut permettre de déterminer si la faille a été exploitée : tout GET avec réponse en 200 sur /users/:uid/methods/push/:lt/:hash est à considérer comme illégitime si :lt contient moins de 10 caractères .

...