O2OA CipherConnectionAction Credential Leak Leading to Privilege Escalation Analysis

O2OA 脆弱性レポートサマリー 脆弱性概要 脆弱性名称：O2OA CipherConnectionAction における認証情報の過剰共有による権限昇格 (Credential Over-Sharing Leading to Privilege Escalation) 脆弱性タイプ：権限昇格 (Privilege Escalation) 重大度：高 (High) 脆弱性情報： ユーティリティクラスは、すべての出力 HTTP リクエストに対して、最高権限の認証情報（cipher token）を無条件に付加します。攻撃者は モジュールの エンドポイントを介して任意の URL を指定し、出力要求をトリガーすることができます。これにより、cipher token が攻撃者が制御するサーバーに漏洩し、攻撃者はその token を使用してシステムレベルの cipher 権限を持つ管理 API を呼び出すことで、完全なシステムコントロール権限を獲得します。 影響範囲 影響を受けるバージョン： O2OA 10.0.2-rc2 (公式リリース) 9.5.5 / 9.5.2 / 10.0.0-rc1 / 10.0.1-rc1 / 10.0.2-rc1 影響を受けるコンポーネント： モジュール： エンドポイントパス： フィルター： ビジネス権限：なし (None) 攻撃のハードル：最低 (Lowest) - いかなる認証済みユーザーも 修正方案 推奨される修正策： 1. 認証情報の自動付加の削除： クラスを修正し、出力要求に対して無条件に cipher token を付加しないようにします。 2. URL ホワイトリスト/検証： エンドポイントにおいて、宛先 URL に対する厳格な検証を行い、外部または信頼できないアドレスへのアクセスを禁止します。 3. 権限制御： API に対してより厳格な権限チェックを追加し、一般ユーザーの呼び出しを制限します。 POC コード / 利用コード 1. 脆弱性発現点 (Java ソースコード抜粋) 2. 攻撃チェーン (Attack Chain) 3. リスナーコード (Python) 攻撃者は以下のリスナーを実行して、HTTP 要求とそのヘッダーをキャプチャします。 4. 利用手順 (検証ステップ) ステップ 1: 一般ユーザーの token を使用して SSRF をトリガー ステップ 2: リスナーが cipher token をキャプチャ ステップ 3: キャプチャした cipher token を使用して管理エンドポイントにアクセス 応答：200 - システム設定の読み取りに成功 ステップ 4: cipher token を使用して invoke 管理エンドポイントにアクセス 応答：200 - invoke 管理エンドポイントへのアクセスに成功 ステップ 5: cipher token を使用して Token 設定読み取りエンドポイントにアクセス 応答：200 - Token 署名鍵、SSO クライアント鍵、DingTalk/WeChat 統合鍵などのその他の機密設定を返します。攻撃者はこれらの鍵を使用して、任意のユーザー token またはサードパーティアプリケーションのログイン要求を偽造できます。

目標達成 すべての支援者に感謝 — 100%達成しました！

O2OA CipherConnectionAction Credential Leak Leading to Privilege Escalation Analysis

目標達成すべての支援者に感謝 — 100%達成しました！