AniWorld Downloader WebUI /login Endpoint Missing Rate Limiting Allows Brute Force

脆弱性情報概要 AniWorld Downloader WebUI のログインエンドポイントにはレート制限が設けられておらず、攻撃者は無制限にパスワードの総当たり攻撃（ブルートフォース）を実行できます。この脆弱性は 内の ルートに存在し、POST リクエストの処理において、試行回数の制御（カウンター、遅延、アカウントのロック、IP ごとの制限など）が一切行われていません。 影響範囲 公開された WebUI：WebUI が および 、またはリバースプロキシを介して公開されている場合、攻撃者は無制限のオンラインパスワード総当たり攻撃を実行できます。 デフォルトのローカルバインド：デフォルトでは、WebUI は にバインドされるため、遠隔地からはアクセスできません。 アカウントタイプ：管理者アカウントに対する攻撃は管理者用 WebUI へのアクセス権限を得ることになり、非管理者アカウントに対する攻撃は標準的な WebUI のみへのアクセス権限となります。 修正方針 1. 短期対策：IP ごとの失敗回数をカウントし、閾値を超えた場合に HTTP 429 エラーを返すようにする。 2. 中期対策：漸進的な遅延と、アカウントごとの一時的なロック（恒久的ではない）を組み合わせ、ロックイベントは記録するが、送信されたパスワードは記録しないようにする。 3. 長期対策：失敗時の応答を統一されたものとし、 によって認証インターフェースがオンラインに公開されるネットワークを記録し、運用者がリバースプロキシを使用して独自のレート制限を実施することを推奨する。 POC コード 詳細な攻撃手順 1. ログインページの取得： に対して GET リクエストを送信し、隠しフィールドの を抽出し、セッションクッキーを保持する。 2. 誤ったパスワードの送信：ユーザー名、推測したパスワード、および を使用して に対して POST リクエストを送信する。応答は HTTP 200 で、遅延やロックは発生しない。 3. 無制限の繰り返：同じセッションと CSRF トークンを使い回し、推測を継続して送信する。サーバーは毎回同じ応答を返し、カウンターもバックオフ機構もロックも適用されない。 4. 成功：推測したパスワードが一致すると、サーバーは を呼び出し、WebUI へ 302 リダイレクトを行い、攻撃者は認証済みセッションクッキーを取得する。 検証 ソースコードの確認：コミット において、 ルートは失敗時に再レンダリングを行うものの、試行制御は何も行われていない。 実行時検証：バージョン v5.1.1 において、有効なセッションクッキーと CSRF トークンを使用して 30 回の誤ったパスワード送信を行ったところ、アカウントはロックされず、レート制限も適用されなかった。その後、正しいパスワードでの認証は成功した。 影響と制限 公開された WebUI：攻撃者は、アプリケーションレベルのレート制限やロックなしで無制限のオンラインパスワード総当たり攻撃を実行できる。 デフォルトのローカルバインド：遠隔地からはアクセスできない。 アカウントタイプ：管理者アカウントに対する攻撃は管理者用 WebUI へのアクセス権限を得ることになり、非管理者アカウントに対する攻撃は標準的な WebUI のみへのアクセス権限となる。 修正推奨事項 短期：IP ごとの失敗回数をカウントし、閾値を超えた場合に HTTP 429 エラーを返すようにする。 中期：漸進的な遅延と、アカウントごとの一時的なロック（恒久的ではない）を組み合わせ、ロックイベントは記録するが、送信されたパスワードは記録しないようにする。 長期：失敗時の応答を統一されたものとし、 によって認証インターフェースがオンラインに公開されるネットワークを記録し、運用者がリバースプロキシを使用して独自のレート制限を実施することを推奨する。

目標達成すべての支援者に感謝 — 100%達成しました！

AniWorld Downloader WebUI /login Endpoint Missing Rate Limiting Allows Brute Force

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

AniWorld Downloader WebUI /login Endpoint Missing Rate Limiting Allows Brute Force

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！